异常 Linux 编译器活动

设置

此规则需要安装关联的机器学习作业，以及来自以下集成之一的数据： - Elastic Defend - Auditd Manager

异常检测设置

启用规则后，关联的机器学习作业将自动启动。您可以在检测规则的“定义”面板下查看链接的机器学习作业。如果作业由于错误而未启动，则必须解决该问题才能成功启动作业。有关设置异常检测作业的更多详细信息，请参阅帮助指南。

Elastic Defend 集成设置

Elastic Defend 使用 Fleet 集成到 Elastic Agent 中。配置完成后，该集成允许 Elastic Agent 监视主机上的事件并将数据发送到 Elastic Security 应用程序。

先决条件

应执行以下步骤以将 Elastic Defend 集成添加到您的系统中

Auditd Manager 集成设置

Auditd Manager 集成从 Linux Audit Framework 接收审计事件，该框架是 Linux 内核的一部分。Auditd Manager 提供了一个用户友好的界面和自动化功能，用于通过 auditd 守护程序配置和监视系统审计。借助 auditd_manager，管理员可以轻松定义审计规则、跟踪系统事件和生成全面的审计报告，从而提高系统的整体安全性和合规性。

应执行以下步骤以将 Elastic Agent 系统集成“auditd_manager”添加到您的系统中

特定于规则的设置说明

Auditd Manager 订阅内核并在事件发生时接收事件，而无需任何额外配置。但是，如果需要更高级的配置来检测特定行为，则可以通过在“审计规则”配置框或“auditd 规则文件”框中指定要从中读取审计规则的文件，将审计规则添加到集成中。- 此检测规则不需要额外的审计规则。

框架: MITRE ATT&CK^TM