› › ›

检测到段错误

监控内核日志中的段错误消息。段错误（或称分段错误）是指程序尝试访问其无权访问的内存位置时发生的错误，通常会导致程序终止。如果段错误是由于试图利用软件中的缓冲区溢出或其他漏洞来执行任意代码或破坏其正常运行而导致的，则可能表明存在恶意行为。

规则类型: 查询

规则索引:

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引起始于: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

版本: 1

规则作者:

规则许可证: Elastic License v2

设置

此规则需要来自以下集成之一的数据：- Filebeat

Filebeat 设置

Filebeat 是一个轻量级的传输器，用于转发和集中日志数据。作为代理安装在您的服务器上，Filebeat 监控您指定的日志文件或位置，收集日志事件，并将它们转发到 Elasticsearch 或 Logstash 进行索引。

应执行以下步骤，以便为 Linux 系统添加 Filebeat

规则特定设置说明

host.os.type:linux and event.dataset:"system.syslog" and process.name:kernel and message:segfault

框架: MITRE ATT&CK^TM