用户或组创建/修改

设置

此规则需要来自 Auditd Manager 的数据。

Auditd Manager 集成设置

Auditd Manager 集成接收来自 Linux Audit Framework 的审计事件，该框架是 Linux 内核的一部分。Auditd Manager 提供了一个用户友好的界面和自动化功能，用于通过 auditd 守护进程配置和监控系统审计。使用 auditd_manager，管理员可以轻松定义审计规则、跟踪系统事件并生成全面的审计报告，从而提高系统的整体安全性和合规性。

为了在 Linux 系统上添加 Elastic Agent 系统集成“auditd_manager”，应按顺序执行以下步骤

规则特定设置说明

Auditd Manager 订阅内核并在事件发生时接收事件，无需任何其他配置。但是，如果需要更高级的配置来检测特定行为，则可以通过在“审计规则”配置框或“auditd 规则文件”框中指定要从中读取审计规则的文件，将审计规则添加到集成中。为了触发此检测规则，需要将以下其他审计规则添加到集成中

-w /usr/sbin/groupadd -p x -k group_modification
-w /sbin/groupadd -p x -k group_modification
-w /usr/sbin/groupmod -p x -k group_modification
-w /sbin/groupmod -p x -k group_modification
-w /usr/sbin/addgroup -p x -k group_modification
-w /sbin/addgroup -p x -k group_modification
-w /usr/sbin/usermod -p x -k user_modification
-w /sbin/usermod -p x -k user_modification
-w /usr/sbin/userdel -p x -k user_modification
-w /sbin/userdel -p x -k user_modification
-w /usr/sbin/useradd -p x -k user_modification
-w /sbin/useradd -p x -k user_modification
-w /usr/sbin/adduser -p x -k user_modification
-w /sbin/adduser -p x -k user_modification

iam where host.os.type == "linux" and event.type in ("creation", "change") and auditd.result == "success" and
event.action in ("changed-password", "added-user-account", "added-group-account-to")

框架: MITRE ATT&CK^TM