Regola per raccogliere gli eventi per nessun privilegio per le operazioni di sudo
Nei file di registro di sistema è stato rilevato un comando "sudo" non valido.
L'utente ha tentato di ottenere l'accesso agli account con privilegi. Questo monitoraggio consente agli amministratori di sistema di tenere traccia dell'utilizzo di "sudo".
La descrizione dell'avviso e/o l'elemento dati di output contiene informazioni sull'evento rilevato. Se l'attività appare sospetta, controllare i dettagli sull'evento associato e altri eventi verificatisi alla stessa ora di questo.
Target | Microsoft.ACS.Solaris.11.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Solaris.11.Sudo.Invalid" Enabled="false" Target="Microsoft.ACS.Solaris.11.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/authlog</LogFile>
<!-- [TYPE] Solaris SUDO False -->
<!-- [INPUT] Jan 10 13:20:21 jeffcof-sol11-x86 sudo: [ID 702911 auth.alert] jeffcof : user NOT in sudoers ; TTY=pts/5 ; PWD=/var/log ; USER=root ; COMMAND=/usr/bin/ls -->
<!-- [EXPECTED] date="Jan 10 13:20:21"; hostname="jeffcof-sol11-x86"; process="sudo"; user="jeffcof"; clientUser="root"; sessionName="/usr/bin/ls" -->
<RegExpFilter>[[:space:]]sudo: \[.*\][[:space:]]+[^[:space:]]+ : user NOT in sudoers ; TTY=.* ; USER=[^[:space:]]+ ; COMMAND=.*</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sudo): \[.*\]\s+(?'user'\S+) : user NOT in sudoers ; TTY=.* ; USER=(?'clientUser'\S+) ; COMMAND=(?'sessionName'.*)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>