UEBA : Tentative d'utilisation d'un compte désactivé par l'utilisateur
L'application QRadar® User Entity Behavior Analytics (UEBA) prend en charge les cas d'utilisation basés sur des règles pour certaines anomalies comportementales.
UEBA : Tentative d'utilisation d'un compte désactivé par l'utilisateur
Activation par défaut
Faux
Valeur Sense par défaut
10
Défaut senseValueSource
10
Descriptif
Détecte la tentative d'un utilisateur d'accéder aux ressources de l'organisation à l'aide d'un compte désactivé.
Règles de prise en charge
- BB:CategoryDefinition: Authentication to Disabled Account
- BB:UBA : Comptes désactivés (Kerberos)
- BB:UBA : Common Log Source Filters
Types de source de journal
Extreme Dragon Network IPS (ID événement : HOST:TACACS:REJECTED-USER, HOST:TACACS:REJECTED-USER2, HOST:WIN:530-FAILED-RESTRICTED, HOST:WIN:531-ACCOUNT-DISABLED, HOST:WIN:533-FAILED-NOT-ALLOWED, HOST:WIN:539-ACCOUNT-LOCKED, HOST:WIN:DIAL-IN-LOCKOUT, HOST:WU-FTP:DISABLED-ACCOUNT)
Journal des événements de sécurité Microsoft Windows (ID événement : 530, 531, 533, 534, 644, 1327, 644, 4769, 4771, 4773, 4625 Account Disabled, 4625 Account Expired, 4625 Logon Outside Normal Time, 4625 User Locked Out)
IBM Proventia Network Intrusion Prevention System (IPS) (ID événement : Disabled Account Blank Pwd, Disabled Account User Pwd, Failed_login-account_disabled, Failed_login-account_locked_out, Failed_login-not_authorized_for_console_login, Failed_login-time_restriction_violation, Guessed Disabled Account Pwd, User_account_disabled, User_account_locked_out)
Cisco Intrusion Prevention System (IPS) (ID événement : 3343)
Microsoft IAS Server (ID événement : IAS_ACCOUNT_DISABLED, IAS_ACCOUNT_LOCKED_OUT, IAS_DIALIN_DISABLED, IAS_DIALIN_LOCKED_OUT)