Home
  •  

Sudo réussie (Universal Linux)

Microsoft.ACS.Linux.Universal.Sudo.Succeeded (Rule)

Règle de collecte d'événements pour l'appel à sudo réussi.

Knowledge Base article:

Résumé

L'exécution d'une commande 'sudo' a été détectée dans les fichiers journaux système.

Configuration

Cette règle est désactivée par défaut. Elle peut être activée avec une substitution ciblant une instance spécifique de Universal Linux, toutes les instances de Universal Linux ou un groupe d'instances Universal Linux. Si cette règle est activée, le paramètre RegExpFilter doit être remplacé par un modèle d'expression régulière correspondant à la version et au système d'exploitation Linux cible. Les messages du journal système pour des conditions spécifiques peuvent varier entre les systèmes d'exploitation et versions.

Causes

Des utilisateurs peuvent avoir reçu le droit d'accès à des comptes privilégiés. Cette analyse permet aux administrateurs système de suivre l'utilisation de la commande 'sudo'.

Résolutions

La description de l'alerte et/ou de l'élément de données de sortie contient des informations sur l'événement survenu. Si l'activité paraît suspecte, consultez les détails des événements connexes ou de tout autre événement survenu à peu près au même moment.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Sudo.Succeeded" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 SUDO True -->

      <!-- [INPUT] Oct  5 07:13:35 scxcrd-rhel6-01 sudo:  jeffcof : TTY=pts/0 ; PWD=/home/jeffcof ; USER=root ; COMMAND=/usr/bin/head /etc/sudoers -->

      <!-- [EXPECTED] date="Oct  5 07:13:35"; hostname="scxcrd-rhel6-01"; process="sudo"; user="jeffcof"; clientUser="root"; sessionName="/usr/bin/head /etc/sudoers" -->

      <!-- [TYPE] RHEL8 SUDO True -->

      <!-- [INPUT] Nov  8 00:21:47 ost64-rh8-01 sudo[242198]: saurav : TTY=pts/1 ; PWD=/root ; USER=root ; COMMAND=/bin/bash -->

      <!-- [EXPECTED] date="Nov  8 00:21:47"; hostname="ost64-rh8-01"; process="sudo"; processId="242198"; user="saurav"; clientUser="root"; sessionName="/bin/bash" -->

      <RegExpFilter>\s+sudo\[*[[:digit:]]*\]*: \s*\S+ : TTY=.* ; USER=\S+ ; COMMAND=.*</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sudo)\[*(?'processId'\d*)\]*: \s*(?'user'\S+) : TTY=.* ; USER=(?'clientUser'\S+) ; COMMAND=(?'sessionName'.*)</RegExp>

      <EventType>1</EventType>

      <EventId>27006</EventId>

    </WriteAction>

  </WriteActions>

</Rule>