Home
  •  

Règle d'alerte d'échec de SSH

Microsoft.Solaris.10.LogFile.Syslog.SSHAuth.PAM.Root.Failure.Alert (Rule)

Règle d'alerte pour messages d'échec « SSH as root ».

Knowledge Base article:

Résumé

Un échec d'authentification SSH pour le compte root a été détecté dans les fichiers journaux système.

Configuration

Cette règle est désactivée par défaut. Pour activer cette règle à des fins d'analyse, utilisez des remplacements pour configurer le chemin d'accès au fichier journal et activer la règle. Le chemin d'accès au fichier journal est défini avec la propriété substituable nommée LogFile, et la valeur doit être définie sur le chemin d'accès complet au fichier journal qui recevra ces événements, tel que défini dans la configuration syslog. Les remplacements permettent de modifier les valeurs de paramètres pour toutes les instances, ou pour des instances ou groupes spécifiques.

Causes

L'échec de l'opération peut être lié à une erreur de saisie du mot de passe ou à l'utilisation d'un nom d'utilisateur incorrect. Cependant, si l'incident persiste, cela peut être le signe qu'une personne non autorisée tente d'accéder au réseau.

Résolutions

La description de l'alerte et/ou de l'élément de données de sortie contient des informations sur le problème rencontré. Si un incident se produit, consultez les détails des événements connexes ou des événements survenus à peu près au même moment pour diagnostiquer le problème.

Element properties:

TargetMicrosoft.Solaris.10.Computer
CategoryEventCollection
EnabledFalse
Alert GenerateTrue
Alert SeverityError
Alert PriorityNormal
RemotableTrue
Alert Message
Echec de la commande SSH as Root détecté
{0}

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
GenerateAlert WriteAction System.Health.GenerateAlert Default

Source Code:

<Rule ID="Microsoft.Solaris.10.LogFile.Syslog.SSHAuth.PAM.Root.Failure.Alert" Target="Microsoft.Solaris.10.Computer" Enabled="false" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <!-- [TYPE] Solaris SSH False -->

    <!-- [INPUT] Nov  6 13:51:55 scxsun12 sshd[22123]: [ID 800047 auth.notice] Failed keyboard-interactive for root from 10.195.173.73 port 39057 ssh2 -->

    <!-- [INPUT-MISS] Nov  5 17:24:28 scxsun12 sshd[4358]: [ID 800047 auth.notice] Failed keyboard-interactive for jeffcof from 10.195.173.73 port 55229 ssh2 -->

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Property[Type="Unix!Microsoft.Unix.Computer"]/PrincipalName$</Host>

      <LogFile>/var/log/authlog</LogFile>

      <RegExpFilter>sshd\[[[:digit:]]+\]: \[.*\] Failed (keyboard-interactive|publickey) for root from [^[:space:]]+</RegExpFilter>

      <IndividualAlerts>false</IndividualAlerts>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.Solaris.10.LogFile.Syslog.SSHAuth.PAM.Root.Failure.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue/>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>