通过异常PAM授予者进行身份验证

设置

此规则需要使用 auditd_manager 集成。 Auditd_manager 是一种旨在简化和增强 Linux 系统中审计子系统管理的工具。它提供了一个用户友好的界面和自动化功能，用于通过 auditd 守护进程配置和监控系统审计。使用 auditd_manager，管理员可以轻松定义审计规则、跟踪系统事件并生成全面的审计报告，从而提高系统的整体安全性和合规性。以下步骤应按顺序执行，以便在 Linux 系统上安装和部署 auditd_manager。

Kibana -->
Management -->
Integrations -->
Auditd Manager -->
Add Auditd Manager

Auditd_manager 订阅内核并在事件发生时接收事件，无需任何额外配置。但是，如果需要更高级的配置来检测特定行为，则可以通过在“审计规则”配置框或“auditd 规则文件”框中指定要从中读取审计规则的文件，将审计规则添加到集成中。此检测规则触发不需要任何额外配置。

event.category:authentication and host.os.type:linux and event.action:authenticated and event.outcome:success and
auditd.data.grantors:(* and not (pam_rootok or *pam_cap* or *pam_permit*))

框架: MITRE ATT&CK^TM