Home
  •  

Logon ssh Inválido (Solaris 11)

Microsoft.ACS.Solaris.11.Ssh.Invalid (Rule)

Regra para coletar eventos relacionados a logons ssh inválidos

Knowledge Base article:

Resumo

Foi detectado um comando ssh inválido nos arquivos de log do sistema.

Causas

Não foi concedido ao usuário acesso ao sistema remotamente. Este monitor permite que os administradores de sistemas controlem o uso de 'ssh'.

Resoluções

A descrição do alerta e/ou do item de dados de saída contém informações sobre o evento encontrado. Se a atividade parecer suspeita, verifique os detalhes do evento relacionado e todos os outros eventos que ocorreram por volta do horário desse evento.

Element properties:

TargetMicrosoft.ACS.Solaris.11.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Solaris.11.Ssh.Invalid" Enabled="false" Target="Microsoft.ACS.Solaris.11.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/authlog</LogFile>

      <!-- [TYPE] Solaris SSH False -->

      <!-- [INPUT] Jan 13 10:57:24 jeffcof-sol11-x86 sshd[3142]: [ID 800047 auth.info] Illegal user unknownuser from 172.30.168.208 -->

      <!-- [EXPECTED] date="Jan 13 10:57:24"; hostname="jeffcof-sol11-x86"; process="sshd"; processId="3142"; user="unknownuser"; clientHost="172.30.168.208" -->

      <RegExpFilter>[[:space:]]+sshd\[[[:digit:]]+\]: \[.*\] Illegal user ([^[:space:]]+) from [^[:space:]]+</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: \[.*\] Illegal user (?'user'\S+) from (?'clientHost'\S+)</RegExp>

      <EventType>0</EventType>

      <EventId>27003</EventId>

    </WriteAction>

  </WriteActions>

</Rule>