UEBA: Erkennung persistenter SSH-Sitzungen

Standardmäßig aktiviert

Falsch

senseValue-Standardwert

10

Standard- senseValueSource

10

Standard- senseValueDestination

10

Beschreibung

Erkennt SSH-Sitzungen, die länger als zehn Stunden aktiv sind.

Regeln für die Unterstützung

• BB:UBA : Allgemeine Ereignisfilter
• BB:UBA : SSH-Sitzung geschlossen
• BB:UBA : SSH-Sitzung geöffnet

Erforderliche Konfiguration

Für diese Regel müssen die Ereignisse 'SSH geöffnet' und 'SSH geschlossen' auftreten, damit eine korrekte Erkennung möglich ist. Wenn die verwendete Protokollquelle über keine Ereignis-ID für beide Ereignisse verfügt, erhalten Sie möglicherweise falsche Ergebnisse. Ermitteln Sie in den Datenquellen die Ereignis-IDs für die verwendete Protokollquelle.

Protokollquellentypen (SSH geöffnet)

Centrify Infrastructure Services (Ereignis-ID: 27100, 27104)

Cisco IOS (Ereignis-ID: %SSH-5-SSH2_SESSION, %SSH-SW2-5-SSH2_SESSION)

Custom Rule Engine (Ereignis-ID: 18037, 3071)

Cyber-Ark Vault (Ereignis-ID: 378)

Extreme XSR Security Routers (Ereignis-ID: NEW_SSH_CONNECTION)

Flow Classification Engine (Ereignis-ID: 3071, 18037)

Huawei S Series Switch (Ereignis-ID: SSH/4/SFTP_REQ_RECORD)

HyTrust CloudControl (Ereignis-ID: AUN0120, unknown)

IBM AIX Server (Ereignis-ID: sshd2 connection established, ssh-server connect, ssh-server session open)

IBM DataPower (EventID: 0x8100011e, 0x810001e4, 0x810001e5)

Juniper MX Series Ethernet Services Router (Ereignis-ID: SSH)

Juniper Networks AVT (Ereignis-ID: SSH)

Mac OS X (Ereignis-ID: OSX ssh session started)

OS Services Qidmap (Ereignis-ID: Connection from, pam_open_session, pam_sm_open_session)

Solaris Operating System Authentication Messages (Ereignis-ID: ssh session opened)

Universal DSM (Ereignis-ID: SSH Opened, SSH Session Started)

Protokollquellentypen (SSH geschlossen)

Aruba Mobility Controller (Ereignis-ID: sshd_disconnect)

Centrify Infrastructure Services (Ereignis-ID: 27102)

Cisco IOS (Ereignis-ID: %SSH-5-SSH_CLOSE, %SSH-SW2-5-SSH2_CLOSE, %SSH-5-SSH2_CLOSE)

Custom Rule Engine (Ereignis-ID: 3072, 18038, 18040)

Cyber-Ark Vault (Ereignis-ID: 380, 381)

Flow Classification Engine (Ereignis-ID: 3072, 18038, 18040)

Huawei S Series Switch (Ereignis-ID: SSH/6/RECV_DISCONNECT)

IBM AIX Server (Ereignis-ID: ssh-server disconnect, sshd2 connection lost, SSH Disconnect, sshd2 local disconnect, ssh-server session close)

OS Services Qidmap (Ereignis-ID: Done with connection, pam_sm_close_session, pam_close_session, Did not receive identification string, Connection timed out, Received disconnect from IP, Connection closed)

Pulse Secure Pulse Connect Secure (Ereignis-ID: GWE24572)

Universal DSM (Ereignis-ID: SSH Terminated, SSH Session Finished, SSH Closed)