UBA: Proceso ejecutado fuera de Gold Disk Allowlist (Linux)

La aplicación QRadar® User Entity Behavior Analytics (UEBA) da soporte a casos de uso basados en reglas para determinadas anomalías de comportamiento.

UBA: Proceso ejecutado fuera de Gold Disk Allowlist (Linux®)

Habilitada de forma predeterminada

No

senseValue predeterminado

15

Descripción

Detecta los procesos creados en un sistema Linux y genera alertas si el proceso se realiza fuera de la lista de elementos permitidos de procesos de disco Gold.
Nota: La regla está inhabilitada de forma predeterminada. Habilite la regla sólo después de rellenar o modificar los nombres de proceso que se van a incluir en la lista de elementos permitidos en el conjunto de referencia 'UBA: Gold Disk Process Allowlist- Linux'.

Configuración necesaria

  • Añada los valores adecuados al siguiente conjunto de referencia: "UBA : Lista de elementos permitidos de procesos de Gold Disk - Linux".
  • Habilite Buscar activos para el nombre de usuario, cuando el nombre de usuario no está disponible para los datos de sucesos o flujos en Valores de administración > Valores de UBA.

Regla de soporte

BB:UBA : Common Log Source Filters

Tipos de origen de registro

SO LinuxEventID: SYSCALL)