UBA: processo executado fora do disco Gold (Linux)

O aplicativo QRadar® User Entity Behavior Analytics (UEBA) suporta casos de uso baseados em regras para determinadas anomalias comportamentais.

UBA: processo executado fora do disco Gold (Linux®)

Ativado por Padrão

Não

senseValue padrão

15

Descrição

Detecta processos que são criados em um sistema Linux e alerta quando o processo está fora da lista de permissões de processos de disco Gold.
Nota: a regra é desativada por padrão Ative a regra somente depois de preencher ou modificar os nomes de processo a serem incluídos na lista de permissões no conjunto de referência 'UBA: Gold Disk Process Allowlist- Linux'..

Configuração Necessária

  • Inclua os valores apropriados no conjunto de referência a seguir: "UBA: lista de permissões do processo de disco dourado - Linux".
  • Ative Procurar ativos para o nome do usuário, quando o nome do usuário não estiver disponível para dados de eventos ou de fluxo em Configurações do administrador > Configurações do UBA

Regra de suporte

BB:UBA: Filtros de Origem de Log Comuns

Tipos de origem de log

Sistema operacional LinuxEventID: SYSCALL)