Dies ist eine Warnungsregel für Erfolgsmeldungen zu "SSH as root".
Eine SSH-Authentifizierung als "Root" wurde in den Systemprotokolldateien ermittelt.
Diese Regel ist standardmäßig deaktiviert. Verwenden Sie zur Aktivierung dieser Überwachungsregel Außerkraftsetzungen, mit denen Sie den Pfad der Protokolldatei konfigurieren und die Regel aktivieren. Der Pfad der Protokolldatei wird mithilfe der überschreibbaren Eigenschaft "LogFile" festgelegt. Als Wert muss der vollständige Pfad der Protokolldatei festgelegt werden, von der diese Ereignisse empfangen werden - wie in der Konfiguration des Systemprotokolls definiert. Die für alle Instanzen oder für eine bestimmte Instanz oder Gruppe definierten Parameterwerte können mithilfe von Außerkraftsetzungen geändert werden.
Möglicherweise wurde einigen Benutzern der Zugriff auf privilegierte Konten gewährt. Mit diesem Monitor können Systemadministratoren Direktanmeldungen als Root-Benutzer überwachen.
Die Beschreibung der Warnung und/oder des Ausgabedatenelements enthält Informationen zum festgestellten Ereignis. Wenn dieses Ereignis verdächtig erscheint, überprüfen Sie die entsprechenden Ereignisdetails und alle übrigen Ereignisse, die zum Ereigniszeitpunkt aufgetreten sind.
Target | Microsoft.AIX.7.Computer | ||
Category | EventCollection | ||
Enabled | True | ||
Alert Generate | True | ||
Alert Severity | Information | ||
Alert Priority | Normal | ||
Remotable | True | ||
Alert Message |
|
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Datasource | Default |
GenerateAlert | WriteAction | System.Health.GenerateAlert | Default |
<Rule ID="Microsoft.AIX.7.LogFile.Syslog.SSHAuth.Root.Success.Alert" Target="Microsoft.AIX.7.Computer" Enabled="true" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<!-- [TYPE] AIX7 SSH True -->
<!-- [INPUT] Jun 2 14:24:01 scxomd-aix7-01 auth|security:info sshd[6357222]: Accepted password for root from 10.195.175.198 port 58237 ssh2 -->
<!-- [INPUT] Jun 2 14:24:01 scxomd-aix7-01 auth|security:info sshd[6357222]: Accepted hostbased for root from 10.195.175.198 port 58237 ssh2 -->
<!-- [INPUT-MISS] Jun 2 14:24:01 scxomd-aix7-01 auth|security:info sshd[6357222]: Accepted password for jeffcof from 10.195.175.198 port 58237 ssh2 -->
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Datasource">
<Host>$Target/Property[Type="Unix!Microsoft.Unix.Computer"]/PrincipalName$</Host>
<LogFile>/var/adm/ras/syslog.caa</LogFile>
<RegExpFilter>sshd\[[[:digit:]]+\]: Accepted [^[:space:]]+ for root from [^[:space:]]+</RegExpFilter>
<IndividualAlerts>false</IndividualAlerts>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">
<Priority>1</Priority>
<Severity>0</Severity>
<AlertMessageId>$MPElement[Name="Microsoft.AIX.7.LogFile.Syslog.SSHAuth.Root.Success.AlertMessage"]$</AlertMessageId>
<AlertParameters>
<AlertParameter1>$Data/EventDescription$</AlertParameter1>
</AlertParameters>
<Suppression>
<SuppressionValue/>
</Suppression>
</WriteAction>
</WriteActions>
</Rule>