« 通过 Grep 发现安全软件 敏感文件压缩 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

检测到段错误

编辑

检测到段错误

编辑

监控内核日志中的段错误消息。段错误（segmentation fault）是一种错误，发生在程序尝试访问其无权访问的内存位置时，通常会导致程序终止。如果段错误是由试图利用缓冲区溢出或软件中的其他漏洞来执行任意代码或破坏其正常运行造成的，则它可能表示恶意行为。

规则类型: 查询

规则索引:

  • logs-system.syslog-*

严重性: 低

风险评分: 21

每隔: 5 分钟运行

搜索索引自: now-9m (日期数学格式，另请参见 附加回溯时间)

每次执行的最大告警数: 100

参考文献: 无

标签:

  • 领域：端点
  • 操作系统：Linux
  • 用例：威胁检测
  • 策略：执行
  • 规则类型：BBR

版本: 1

规则作者:

  • Elastic

规则许可证: Elastic License v2

设置

编辑

设置

此规则需要来自以下集成之一的数据：- Filebeat

Filebeat 设置

Filebeat 是一款轻量级转发器，用于转发和集中日志数据。它作为代理安装在您的服务器上，监控您指定的日志文件或位置，收集日志事件，并将它们转发到 Elasticsearch 或 Logstash 以进行索引。

为了为 Linux 系统添加 Filebeat，应按顺序执行以下步骤

  • Elastic 提供了适用于基于 APT 和 YUM 的发行版的存储库。请注意，我们提供二进制包，但不提供源代码包。
  • 要安装 APT 和 YUM 存储库，请按照此辅助指南中的设置说明进行操作。
  • 要在 Docker 上运行 Filebeat，请按照辅助指南中的设置说明进行操作。
  • 要在 Kubernetes 上运行 Filebeat，请按照辅助指南中的设置说明进行操作。
  • 有关 Filebeat 的快速入门信息，请参阅辅助指南。
  • 有关 Filebeat 的完整设置和运行信息，请参阅辅助指南。

规则特定设置说明

  • 此规则要求启用 Filebeat 系统模块。
  • 系统模块收集并解析由常用基于 Unix/Linux 的发行版的系统日志服务创建的日志。
  • 要在 Linux 上运行 Filebeat 的系统模块，请按照辅助指南中的设置说明进行操作。

规则查询

编辑
host.os.type:linux and event.dataset:"system.syslog" and process.name:kernel and message:segfault

框架: MITRE ATT&CKTM

« 通过 Grep 发现安全软件 敏感文件压缩 »