Home
  •  

Volání příkazu „sudo“ se podařilo (Universal Linux)

Microsoft.ACS.Linux.Universal.Sudo.Succeeded (Rule)

Pravidlo shromažďování událostí úspěšného volání příkazu „sudo“

Knowledge Base article:

Souhrn

V souborech systémových protokolů byl zjištěn úspěšný příkaz „sudo“.

Konfigurace

Ve výchozím nastavení je toto pravidlo zakázáno. Může být povoleno přepsáním zacíleným na konkrétní instanci systému Universal Linux, na všechny instance systému Universal Linux, nebo na skupinu instancí systému Universal Linux. Pokud je toto pravidlo aktivní, pak by měl být parametr RegExpFilter přepsán pomocí vzorce regulárního výrazu, který je vhodný pro cílový operační systém Linux a verzi. Zprávy systémového protokolu se za určitých podmínek mohou lišit podle operačních systémů a verzí.

Příčiny

Uživatelům byl možná povolen přístup k privilegovaným účtům. Toto monitorování umožňuje správcům systémů sledovat používání příkazu „sudo“.

Řešení

Popis výstrahy a/nebo položky výstupních dat obsahuje informace o vzniklé události. Pokud je tato činnost podezřelá, zkontrolujte přidružené podrobnosti události a všechny ostatní události, které se vyskytly přibližně v době této události.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Sudo.Succeeded" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 SUDO True -->

      <!-- [INPUT] Oct  5 07:13:35 scxcrd-rhel6-01 sudo:  jeffcof : TTY=pts/0 ; PWD=/home/jeffcof ; USER=root ; COMMAND=/usr/bin/head /etc/sudoers -->

      <!-- [EXPECTED] date="Oct  5 07:13:35"; hostname="scxcrd-rhel6-01"; process="sudo"; user="jeffcof"; clientUser="root"; sessionName="/usr/bin/head /etc/sudoers" -->

      <!-- [TYPE] RHEL8 SUDO True -->

      <!-- [INPUT] Nov  8 00:21:47 ost64-rh8-01 sudo[242198]: saurav : TTY=pts/1 ; PWD=/root ; USER=root ; COMMAND=/bin/bash -->

      <!-- [EXPECTED] date="Nov  8 00:21:47"; hostname="ost64-rh8-01"; process="sudo"; processId="242198"; user="saurav"; clientUser="root"; sessionName="/bin/bash" -->

      <RegExpFilter>\s+sudo\[*[[:digit:]]*\]*: \s*\S+ : TTY=.* ; USER=\S+ ; COMMAND=.*</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sudo)\[*(?'processId'\d*)\]*: \s*(?'user'\S+) : TTY=.* ; USER=(?'clientUser'\S+) ; COMMAND=(?'sessionName'.*)</RegExp>

      <EventType>1</EventType>

      <EventId>27006</EventId>

    </WriteAction>

  </WriteActions>

</Rule>