Home
  •  

Syslog 인증 위험 경고 규칙

Microsoft.AIX.6.1.LogFile.Syslog.Auth.Critical.Alert (Rule)

syslog의 인증 위험 메시지에 대한 경고 규칙입니다.

Knowledge Base article:

요약

시스템 로그 파일에서 보안과 관련된 중요한 이벤트가 검색되었습니다.

구성

이 규칙은 기본적으로 비활성화되어 있습니다. 모니터링을 위해 이 규칙을 사용하도록 설정하려면 재정의를 사용하여 로그 파일 경로를 구성하고 규칙을 활성화합니다. 로그 파일 경로는 LogFile라는 재정의 속성으로 설정되고, 값은 syslog 구성에 정의된 대로 이러한 이벤트를 수신하는 로그 파일의 전체 경로와 일치해야 합니다. 모든 인스턴스나 특정 인스턴스 또는 그룹의 매개 변수 값을 변경하는 데 재정의를 사용할 수 있습니다.

원인

심각한 이유로 보안 오류가 발생했습니다. 오류에 대한 정보는 관련 출력 데이터 항목, 이벤트 및 경고에서 확인할 수 있습니다.

해결 방법

경고에 대한 설명 및/또는 출력 데이터 항목에 발생한 문제에 대한 정보가 포함되어 있습니다. 관련 이벤트 세부 정보와 이 오류와 비슷한 시기에 발생한 다른 보안 이벤트를 검토하여 문제를 진단하십시오.

Element properties:

TargetMicrosoft.AIX.6.1.Computer
CategoryEventCollection
EnabledFalse
Alert GenerateTrue
Alert SeverityError
Alert PriorityNormal
RemotableTrue
Alert Message
Syslog 인증 위험 이벤트 감지
{0}

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Datasource Default
GenerateAlert WriteAction System.Health.GenerateAlert Default

Source Code:

<Rule ID="Microsoft.AIX.6.1.LogFile.Syslog.Auth.Critical.Alert" Target="Microsoft.AIX.6.1.Computer" Enabled="false" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <!-- [TYPE] AIX Alert False -->

    <!-- [INPUT] Oct 30 14:54:46 scxaix1 auth|security:crit su: BAD SU from scxuser to root at /dev/pts/1 -->

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Datasource">

      <Host>$Target/Property[Type="Unix!Microsoft.Unix.Computer"]/PrincipalName$</Host>

      <LogFile>/var/log/syslog.log</LogFile>

      <RegExpFilter>[[:space:]]auth\|[^[:space:]]+:(crit|emerg|alert)</RegExpFilter>

      <IndividualAlerts>false</IndividualAlerts>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.AIX.6.1.LogFile.Syslog.Auth.Critical.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue/>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>