UEBA : 지속적 SSH 세션 탐지

QRadar® User Entity Behavior Analytics (UEBA) 앱은 특정 동작 이상 항목에 대한 규칙을 기반으로 하는 유스 케이스를 지원합니다.

UEBA : 지속적 SSH 세션 탐지

기본적으로 사용 가능

False

senseVaule 기본값

10

기본값 senseValueSource

10

기본값 senseValueDestination

10

설명

10시간 이상 활성 상태인 SSH 세션을 발견합니다.

지원 룰

  • BB:UBA : Common Event Filters
  • BB:UBA : SSH Session Closed
  • BB:UBA : SSH Session Opened

필수 구성

이 룰에는 정확한 발견을 위해 발생하는 SSH 열림 및 SSH 닫힘 이벤트가 필요합니다. 사용되는 로그 소스에 두 이벤트에 해당하는 이벤트 ID가 없으면 부정확한 결과가 수신될 수 있습니다. 사용 중인 로그 소스의 이벤트 ID를 판별하려면 데이터 소스를 참조하십시오.

로그 소스 유형(SSH 열림)

Centrify Infrastructure Services(이벤트 ID: 27100, 27104)

Cisco IOS(이벤트 ID: %SSH-5-SSH2_SESSION, %SSH-SW2-5-SSH2_SESSION)

Custom Rule Engine(이벤트 ID: 18037, 3071)

Cyber-Ark Vault(이벤트 ID: 378)

Extreme XSR Security Routers(이벤트 ID: NEW_SSH_CONNECTION)

Flow Classification Engine(이벤트 ID: 3071, 18037)

Huawei S Series Switch(이벤트 ID: SSH/4/SFTP_REQ_RECORD)

HyTrust CloudControl(이벤트 ID: AUN0120, 알 수 없음)

IBM AIX Server(이벤트 ID: sshd2 connection established, ssh-server connect, ssh-server session open)

IBM DataPower (EventID: 0x8100011e, 0x810001e4, 0x810001e5)

Juniper MX Series Ethernet Services Router(이벤트 ID: SSH)

Juniper Networks AVT(이벤트 ID: SSH)

Mac OS X(이벤트 ID: OSX ssh session started)

OS Services Qidmap(이벤트 ID: Connection from, pam_open_session, pam_sm_open_session)

Solaris Operating System Authentication Messages(이벤트 ID: ssh session opened)

Universal DSM(이벤트 ID: SSH Opened, SSH Session Started)

로그 소스 유형(SSH 닫힘)

Aruba Mobility Controller(이벤트 ID: sshd_disconnect)

Centrify Infrastructure Services(이벤트 ID: 27102)

Cisco IOS(이벤트 ID: %SSH-5-SSH_CLOSE, %SSH-SW2-5-SSH2_CLOSE, %SSH-5-SSH2_CLOSE)

Custom Rule Engine(이벤트 ID: 3072, 18038, 18040)

Cyber-Ark Vault(이벤트 ID: 380, 381)

Flow Classification Engine(이벤트 ID: 3072, 18038, 18040)

Huawei S Series Switch(이벤트 ID: SSH/6/RECV_DISCONNECT)

IBM AIX Server(이벤트 ID: ssh-server disconnect, sshd2 connection lost, SSH Disconnect, sshd2 local disconnect, ssh-server session close)

OS Services Qidmap(이벤트 ID: Done with connection, pam_sm_close_session, pam_close_session, Did not receive identification string, Connection timed out, Received disconnect from IP, Connection closed)

Pulse Secure Pulse Connect Secure(이벤트 ID: GWE24572)

Universal DSM(이벤트 ID: SSH Terminated, SSH Session Finished, SSH Closed)