UBA : Conta defeituosa criada a partir de um novo local

Ativado por Padrão

Não

senseValue padrão

5

Descrição

Detecta atividade de criação de conta anômala de um novo local.

Regras de suporte

Configuração Necessária

Ative a regra a seguir: "UBA: Mudança Geográfica do Usuário".

Tipos de origem de log

APC do AhnLab Policy Center (EventID: Inclusão da Conta do Administrator: Bem-Sucedida, ADD_ADMIN_ACCOUNT_SUCCESS)

Application Security DbProtect (EventID: Usuário do banco de dados criado, Login criado - padrão, Login incluído - Windows, Função do banco de dados - criado)

Aruba Mobility Controller (EventID: authmgr_user_add)

Bit9 Security Platform (EventID: User_group_created, User_group_modified, User_group_deleted, Console_user_created, Console_user_modified, Console_user_deleted)

Box (EventID: NEW_USER)

Brocade FabricOS (EventID: SEC-1180, SEC-3025, SEC-1182)

CA ACF2 (EventID: ACF2-L)

Check Point (EventID: Usuário Incluído, device_added)

Cilasoft QJRN/400 (EventID: C20010, C20011)

Cisco Adaptive Security Appliance (ASA) (EventID: %PIX|ASA-5-502101, %ASA-5-502101)

Cisco Firewall Services Module (FWSM) (EventID: 502101, 504001)

Cisco IOS (EventID: %APF-6-USER_NAME_CREATED)

Cisco Identity Services Engine (EventID: 86006)

Cisco NAC Appliance (EventID: CCA-1500)

Cisco PIX Firewall (EventID: %PIX-0-502101, %PIX-1-502101, %PIX-2-502101, %PIX-3-502101, %PIX-4-502101, %PIX-5-502101, %PIX-6-502101, %PIX-7-502101)

Cisco PIX Firewall (EventID: 502101)

Cisco Wireless LAN Controllers (EventID: %APF-6-USER_NAME_CREATED, 1.3.6.1.4.1.9.9.515.0.2)

Cisco Wireless Services Module (WiSM) (EventID: %AAA-6-GUEST_ACCOUNT_CREATE, %APF-6-USER_NAME_CREATED)

CloudPassage Halo (EventID: Usuário Halo incluído, Usuário Halo incluído novamente, Conta local criada (apenas Linux))

CorreLog Agent for IBM zOS (EventID: RACF ADDUSER: Sem Violações)

Cyber-Ark Vault (EventID: 180, 2)

EMC VMWare (EventID: AccountCreatedEvent)

Extreme Dragon Network IPS (EventID: HOST:WIN:ACCOUNT-CREATED)

Extreme Matrix K/N/S Series Switch (EventID: criado com, Evento Criado pelo Usuário)

Extreme NAC (EventID: Usuário registrado incluído, Incluir Usuário Registrado)

Flow Classification Engine (EventID: 3031, 3041)

Forcepoint Sidewinder (EventID: adição de passaporte)

Fortinet FortiGate Security Gateway (EventID: incluir, auth-logon)

Foundry Fastiron (EventID: SNMP_USER_ADDED)

HBGary Active Defense (EventID: CreateUser)

HP Network Automation (EventID: Usuário Incluído)

Auditoria do IBM AIX (EventID: USER_Create SUCCEEDED)

IBM AIX Server (EventID: USER_Create)

IBM DB2 (EventID: ADD_USER SUCCESS)

IBM IMS (EventID: USER CREATED)

IBM Resource Access Control Facility (RACF) (EventID: 80 10.0, 80 10.2)

IBM Security Access Manager for Enterprise Single Sign-On (EventID: PRE_PROVISION_IMS_USER, AA_SCR_REGISTRATION, REGISTER_MAC_IDENTITY, REGISTER_IDENTITY)

IBM Security Directory Server (EventID: Auditoria do SDS)

IBM Security Identity Governance (EventID: 49, 70004, 42)

IBM Security Identity Manager (EventID: Inclusão Bem-Sucedida, Inclusão ENVIADA, Inclusão BEM-SUCEDIDA)

IBM SmartCloud Orchestrator (EventID: usuário)

IBM Tivoli Access Manager for e-business (EventID: 13402 - Bem-Sucedido, 13401 - Bem-Sucedido, 13402 Comando Bem-Sucedido, 13401 Comando Bem-Sucedido)

IBM i (EventID: GSL2401, MC@0300, GSL2402, M240100, CP_CRT)

Imperva SecureSphere (EventID: NEW_USERS_ACCOUNT, SOX_NEW_USERS, SOX - Novos usuários, Conta de Novos Usuários)

Itron Smart Meter (EventID: CEUI-AUDIT-27, CEUI.AUDIT.26)

Juniper Networks Network and Security Manager (EventID: adm23303, aut20167, adm30407, aut20168, adm20716, adm20717)

S.O. Linux (EventID: ADD_USER)

McAfee Application/Change Control (EventID: USER_ACCOUNT_CREATED)

McAfee ePolicy Orchestrator (EventID: 20792)

Microsoft ISA (EventID: usuário incluído)

Microsoft SQL Server (EventID: CR - SU, CR - US, CR - SL, CR - LX, CR - AR, CR - WU, 24127, 24121, 24075)

Microsoft SharePoint (EventID: 37)

Log de Eventos de Segurança do Microsoft Windows (EventID: 624, 645, 1318, 4720, 4741)

NCC Group DDos Secure (EventID: 1003)

Netskope Active (EventID: Criar Administrador, Criado novo administrador)

Novell eDirectory (EventID: CREATE_ACCOUNT)

Qidmap de Serviços do S.O. (EventID: Conta do Usuário Incluída)

OSSEC (EventID: 5902, 18110)

Okta (EventID: app.user_management.push_new_user_success, app.generic.import.details.add_user, app.generic.import.new_user, app.user_management.provision_user, app.user_management.push_new_user, app.user_management.push_profile_success, core.user.config.user_creation.success, core.user_group_member.user_add, cvd.user_profile_bootstrapped, cvd.appuser_profile_bootstrapped)

OpenBSD OS (EventID: incluir usuário)

Oracle Enterprise Manager (EventID: Criação de Usuário (bem-sucedida), Criação do Computador (bem-sucedida))

Registro de Auditoria RDBMS do Oracle (EventID: 51:1, 51:0, CRIAR USUÁRIO-Padrão:1, CRIAR USUÁRIO-Padrão:0)

Registro de Auditoria do S.O. do Oracle RDBMS (EventID: 51)

Pirean Access: Um (EventID: IsimUserRegistration;*;1)

Pulse Secure Pulse Connect Secure (EventID: ADM23303, ADM20265, AUT20167, ADM30407, AUT20168)

RSA Authentication Manager (EventID: Usuário incluído, desconhecido, REMOTE_PRINCIPAL_CREATE, CREATE_PRINCIPAL, CREATE_AM_PRINCIPAL)

Auditoria do SIM (EventID: Configuration-UserAccount-AccountAdded)

STEALTHbits StealthINTERCEPT (EventID: DirectorycomputerObject AddedTrueFalse ativo, Console? usuário/grupo incluído, Console � usuário/grupo incluído, DirectoryuserObject AddedTrueFalse ativo, Console - usuário/grupo incluído)

SafeNet DataSecure/KeySecure (EventID: Usuário Incluído)

Salesforce Security Auditing (EventID: Novo Usuário do Cliente Criado, Novo Usuário Criado)

Skyhigh Networks Cloud Security Platform (EventID: 10016)

Solaris BSM (EventID: criar usuário)

SonicWALL SonicOS (EventID: 558)

Symantec Encryption Management Server (EventID: ADMIN_IMPORTED_USER)

ThreatGRID Malware Threat Intelligence Platform (EventID: user-account-creation)

Trend Micro Deep Discovery Email Inspector (EventID: SYSTEM_EVENT_ACCOUNT_CREATED)

Trend Micro Deep Security (EventID: 650)

DSM Universal (EventID: Conta do Computador Incluída, Conta do Usuário Incluída)

VMware vCloud Director (EventID: com/vmware/vcloud/event/user/create, com/vmware/vcloud/event/user/import)

Vormetric Data Security (EventID: DAO0089I)

iT-CUBE agileSI (EventID: U0, AU7)