Warnungsregel für Erfolgsmeldungen zu "SU to root command".
Ein erfolgreicher Aufruf des Befehls "su" wurde in den Systemprotokolldateien ermittelt.
Diese Regel ist standardmäßig deaktiviert. Verwenden Sie zur Aktivierung dieser Überwachungsregel Außerkraftsetzungen, mit denen Sie den Pfad der Protokolldatei konfigurieren und die Regel aktivieren. Der Pfad der Protokolldatei wird mithilfe der überschreibbaren Eigenschaft "LogFile" festgelegt. Als Wert muss der vollständige Pfad der Protokolldatei festgelegt werden, von der diese Ereignisse empfangen werden - wie in der Konfiguration des Systemprotokolls definiert. Die für alle Instanzen oder für eine bestimmte Instanz oder Gruppe definierten Parameterwerte können mithilfe von Außerkraftsetzungen geändert werden.
Möglicherweise wurde einigen Benutzern der Zugriff auf privilegierte Konten durch Erhöhung der Rechte mithilfe des Befehls "su" gewährt. Mit dieser Warnungsregel können Systemadministratoren die Verwendung des Befehls "su" überwachen.
Die Beschreibung der Warnung und/oder des Ausgabedatenelements enthält Informationen zum festgestellten Ereignis. Wenn die Nutzung von "su" verdächtig erscheint, überprüfen Sie die entsprechenden Ereignisdetails und alle übrigen Ereignisse, die zum Ereigniszeitpunkt aufgetreten sind.
Target | Microsoft.AIX.7.Computer | ||
Category | EventCollection | ||
Enabled | True | ||
Alert Generate | True | ||
Alert Severity | Information | ||
Alert Priority | Normal | ||
Remotable | True | ||
Alert Message |
|
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Datasource | Default |
GenerateAlert | WriteAction | System.Health.GenerateAlert | Default |
<Rule ID="Microsoft.AIX.7.LogFile.Syslog.SU.Command.Root.Success.Alert" Target="Microsoft.AIX.7.Computer" Enabled="true" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<!-- [TYPE] AIX7 SU True -->
<!-- [INPUT] Jun 2 14:21:20 scxomd-aix7-01 auth|security:notice su: from jeffcof to root at /dev/pts/0 -->
<!-- [INPUT-MISS] Jun 2 14:21:24 scxomd-aix7-01 auth|security:notice su: from root to jeffcof at /dev/pts/0 -->
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Datasource">
<Host>$Target/Property[Type="Unix!Microsoft.Unix.Computer"]/PrincipalName$</Host>
<LogFile>/var/adm/ras/syslog.caa</LogFile>
<RegExpFilter>[[:space:]]su: from [^[:space:]]+ to root at</RegExpFilter>
<IndividualAlerts>false</IndividualAlerts>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">
<Priority>1</Priority>
<Severity>0</Severity>
<AlertMessageId>$MPElement[Name="Microsoft.AIX.7.LogFile.Syslog.SU.Command.Root.Success.AlertMessage"]$</AlertMessageId>
<AlertParameters>
<AlertParameter1>$Data/EventDescription$</AlertParameter1>
</AlertParameters>
<Suppression>
<SuppressionValue/>
</Suppression>
</WriteAction>
</WriteActions>
</Rule>