UEBA：持続的なSSHセッションの検出

デフォルトで有効

いいえ

デフォルトの senseValue

10

デフォルト senseValueSource

10

デフォルト senseValueDestination

10

説明

10 時間を超えてアクティブの状態が続いている SSH セッションを検出します。

サポート・ルール

• BB:UBA : 共通のイベント・フィルター (BB:UBA : Common Event Filters)
• BB:UBA : SSH セッションのクローズ (BB:UBA : SSH Session Closed)
• BB:UBA : SSH セッションのオープン (BB:UBA : SSH Session Opened)

必須の構成

このルールでは、検出を正確に行うために、「SSH オープン」イベントと「SSH クローズ」イベントの両方が発生することが求められます。 使用されるログ・ソースに、この両方のイベントのイベント ID が含まれていない場合、不正確な結果を受け取る可能性があります。 データ・ソースを調べて、使用されているログ・ソースのイベント ID を確認してください。

ログ・ソース・タイプ (SSH オープン)

Centrify Infrastructure Services (イベント ID: 27100、27104)

Cisco IOS (イベント ID: %SSH-5-SSH2_SESSION、%SSH-SW2-5-SSH2_SESSION)

カスタム・ルール・エンジン (イベント ID: 18037、3071)

Cyber-Ark Vault (イベント ID: 378)

Extreme XSR セキュリティー・ルーター (イベント ID: NEW_SSH_CONNECTION)

フロー分類エンジン (イベント ID: 3071、18037)

Huawei S シリーズ・スイッチ (イベント ID: SSH/4/SFTP_REQ_RECORD)

HyTrust CloudControl (イベント ID: AUN0120、unknown)

IBM AIX サーバー (イベント ID: sshd2 connection established、ssh-server connect、ssh-server session open)

IBM DataPower (EventID: 0x8100011e, 0x810001e4, 0x810001e5)

Juniper MX シリーズ、イーサネット・サービス・ルーター (イベント ID: SSH)

Juniper Networks AVT (イベント ID: SSH)

Mac OS X (イベント ID: OSX ssh session started)

OS サービスの Qidmap (イベント ID: Connection from、pam_open_session、pam_sm_open_session)

Solaris オペレーティング・システム認証メッセージ (イベント ID: ssh session opened)

ユニバーサル DSM (イベント ID: SSH オープン、SSH セッション開始)

ログ・ソース・タイプ (SSH クローズ)

Aruba モビリティー・コントローラー (イベント ID: sshd_disconnect)

Centrify Infrastructure Services (イベント ID: 27102)

Cisco IOS (イベント ID: %SSH-5-SSH_CLOSE、%SSH-SW2-5-SSH2_CLOSE、%SSH-5-SSH2_CLOSE)

カスタム・ルール・エンジン (イベント ID: 3072、18038、18040)

Cyber-Ark Vault (イベント ID: 380、381)

フロー分類エンジン (イベント ID: 3072、18038、18040)

Huawei S シリーズ・スイッチ (イベント ID: SSH/6/RECV_DISCONNECT)

IBM AIX サーバー (イベント ID: ssh-server disconnect、sshd2 connection lost、SSH Disconnect、sshd2 local disconnect、ssh-server session close)

OS サービスの Qidmap (イベント ID: Done with connection、pam_sm_close_session、pam_close_session,Did not receive identification string、Connection timed out、Received disconnect from IP、Connection closed)

Pulse Secure Pulse Connect Secure (イベント ID: GWE24572)

ユニバーサル DSM (イベント ID: SSH 終了、SSH セッション終了、SSH クローズ)