Home
  •  

Правило предупреждения для ошибки SSH

Microsoft.AIX.5.3.LogFile.Syslog.SSHAuth.Root.Failure.Alert (Rule)

Правило предупреждения для ошибки проверки SSH от имени привилегированного пользователя

Knowledge Base article:

Краткое описание

В файлах журнала системы обнаружено неудавшееся выполнение проверки подлинности SSH с привилегированной учетной записью.

Настройка

Это правило по умолчанию отключено. Чтобы включить это правило при мониторинге, используйте переопределения для настройки пути файла журнала и включения правила. Путь файла журнала задается переопределяемым свойством LogFile, значением которого должен быть полный путь к файлу журнала, куда будут заноситься события согласно конфигурации syslog. Для изменения значений параметров для всех экземпляров или отдельных экземпляров и групп могут использоваться переопределения.

Причины

Проблема могла быть вызвана вводом неправильного пароля или попыткой использовать неправильное имя пользователя. Однако если такая проблема возникает постоянно, это может указывать на попытку получить несанкционированный доступ.

Устранение

В описании предупреждения и (или) элемента выходных данных содержится информация об обнаруженной проблеме. Если возникла проблема, то для ее диагностики просмотрите сведения о связанном событии и любых других событиях, возникших примерно в то же время.

Element properties:

TargetMicrosoft.AIX.5.3.Computer
CategoryEventCollection
EnabledFalse
Alert GenerateTrue
Alert SeverityError
Alert PriorityNormal
RemotableTrue
Alert Message
Обнаружена ошибка при выполнении SSH от имени привилегированного пользователя
{0}

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Datasource Default
GenerateAlert WriteAction System.Health.GenerateAlert Default

Source Code:

<Rule ID="Microsoft.AIX.5.3.LogFile.Syslog.SSHAuth.Root.Failure.Alert" Target="Microsoft.AIX.5.3.Computer" Enabled="false" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <!-- [TYPE] AIX SSH False -->

    <!-- [INPUT] Oct 30 15:28:07 scxaix3-1 auth|security:info sshd[241818]: Failed password for root from 172.30.182.212 port 41909 ssh2 -->

    <!-- [INPUT-MISS] Oct 30 15:28:00 scxaix3-1 auth|security:info sshd[241816]: Failed password for scxuser from 172.30.182.212 port 41908 ssh2 -->

    <!-- [INPUT-MISS] Oct 30 15:22:27 scxaix3-1 auth|security:info sshd[483338]: Failed none for invalid user ccrammo from 172.30.182.212 port 57623 ssh2 -->

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Datasource">

      <Host>$Target/Property[Type="Unix!Microsoft.Unix.Computer"]/PrincipalName$</Host>

      <LogFile>/var/log/syslog.log</LogFile>

      <RegExpFilter>[[:space:]]sshd\[[[:digit:]]+]: Failed password for root from</RegExpFilter>

      <IndividualAlerts>false</IndividualAlerts>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.AIX.5.3.LogFile.Syslog.SSHAuth.Root.Failure.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue/>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>