Başarısız SUDO çağrısı olaylarını toplayan kural
Sistem günlük dosyalarında başarısız bir 'sudo' komutu algılandı.
Kullanıcı ayrıcalıklı hesaplara erişim izni almaya çalışmış. Bu izleyici sistem yöneticilerinin 'sudo' kullanımını izleyebilmesini sağlar.
Uyarının ve/veya çıktı verisi öğesinin açıklaması, karşılaşılan olayla ilgili bilgiler içerir. Aktivite şüpheli görünüyorsa, lütfen ilişkili olay ayrıntılarını ve bu olayın gerçekleştiği zaman olan diğer olayları kontrol edin.
Target | Microsoft.ACS.Solaris.10.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Solaris.10.Sudo.Failed" Enabled="false" Target="Microsoft.ACS.Solaris.10.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/authlog</LogFile>
<!-- [TYPE] Solaris SUDO False -->
<!-- [INPUT] Nov 2 17:42:01 scxsun12 sudo: [ID 702911 local2.alert] jeffcof : 1 incorrect password attempt ; TTY=pts/2 ; PWD=/export/home/jeffcof ; USER=root ; COMMAND=/usr/bin/ls -->
<!-- [INPUT] Nov 2 17:41:53 scxsun12 sudo: [ID 702911 local2.alert] jeffcof : 3 incorrect password attempts ; TTY=pts/2 ; PWD=/export/home/jeffcof ; USER=root ; COMMAND=/usr/bin/ls -->
<!-- [EXPECTED] date="Nov 2 17:42:01"; hostname="scxsun12"; process="sudo"; user="jeffcof"; clientUser="root"; sessionName="/usr/bin/ls" -->
<!-- [EXPECTED] date="Nov 2 17:41:53"; hostname="scxsun12"; process="sudo"; user="jeffcof"; clientUser="root"; sessionName="/usr/bin/ls" -->
<RegExpFilter>[[:space:]]sudo: \[.*\][[:space:]]+[^[:space:]]+ : [[:digit:]]+ incorrect password attempt(s)? ; TTY=.* ; USER=[^[:space:]]+ ; COMMAND=.*</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sudo): \[.*\]\s+(?'user'\S+) : \d+ incorrect password attempt(?:s)? ; TTY=.* ; USER=(?'clientUser'\S+) ; COMMAND=(?'sessionName'.*)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>