Regola per raccogliere gli eventi per una chiamata non riuscita a su
Nei file di registro di sistema è stato rilevato un comando "su" non riuscito.
L'utente ha tentato di ottenere l'accesso agli account con privilegi. Questo monitoraggio consente agli amministratori di sistema di tenere traccia dell'utilizzo di "su".
La descrizione dell'avviso e/o l'elemento dati di output contiene informazioni sull'evento rilevato. Se l'attività appare sospetta, controllare i dettagli sull'evento associato e altri eventi verificatisi alla stessa ora di questo.
Target | Microsoft.ACS.Solaris.10.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Solaris.10.Su.Failed" Enabled="false" Target="Microsoft.ACS.Solaris.10.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/authlog</LogFile>
<!-- [TYPE] Solaris SU False -->
<!-- [INPUT] Oct 29 17:11:22 scxsun12 su: [ID 810491 auth.crit] 'su root' failed for jeffcof on /dev/pts/1 -->
<!-- [EXPECTED] date="Oct 29 17:11:22"; hostname="scxsun12"; process="su"; clientUser="root"; user="jeffcof" -->
<RegExpFilter>[[:space:]]+su: \[.*\] \'su [^[:space:]]+\' failed for [^[:space:]]+ on</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'su): \[.*\] \'su (?'clientUser'\S+)\' failed for (?'user'\S+) on</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>