En regel för att samla in händelser för misslyckade anrop till sudo
Ett misslyckat sudo-kommando har upptäckts i systemloggfilerna.
Som standard är den här regeln inaktiverad. Den kan aktiveras med en åsidosättning med inriktning på en specifik Universal Linux-instans, alla Universal Linux-instanser eller en grupp av Universal Linux-instanser. Om den här regeln är aktiverad bör RegExpFilter-parametern åsidosättas av ett mönster från ett reguljärt uttryck som passar för Linux-operativsystemet och versionen. Systemloggmeddelanden för specifika förhållanden kan variera mellan olika operativsystem och versioner.
En användare har försökt få åtkomst till konton som kräver behörighet. Med den här övervakaren kan systemadministratörer spåra sudo-användningen.
Information om den påträffade händelsen finns i varningsbeskrivningen och/eller utdataposten. Om aktiviteten verkar misstänkt ska du kontrollera den associerade händelseinformationen och andra eventuella händelser som skedde vid ungefär samma tidpunkt som den här händelsen.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Sudo.Failed" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 SUDO False -->
<!-- [INPUT] Oct 5 07:21:10 scxcrd-rhel6-01 sudo: jeffcof : 3 incorrect password attempts ; TTY=pts/0 ; PWD=/home/jeffcof ; USER=root ; COMMAND=/usr/bin/head /etc/sudoers -->
<!-- [EXPECTED] date="Oct 5 07:21:10"; hostname="scxcrd-rhel6-01"; process="sudo"; user="jeffcof"; clientUser="root"; sessionName="/usr/bin/head /etc/sudoers" -->
<RegExpFilter>sudo\[*[[:digit:]]*\]*: \s*\S+ : [[:digit:]]+ incorrect password attempt(s?) ; TTY=\S+ ; PWD=.* ; USER=\S+ ; COMMAND=.*</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sudo)\[*(?'processId'\d*)\]*: \s*(?'user'\S+) : \d+ incorrect password attempt(?:s?) ; TTY=\S+ ; PWD=.* ; USER=(?'clientUser'\S+) ; COMMAND=(?'sessionName'.*)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>