检测到段错误
编辑检测到段错误编辑
监视内核日志以查找段错误消息。段错误或分段错误是在程序尝试访问不允许访问的内存位置时发生的错误，通常会导致程序终止。如果段错误是由尝试利用缓冲区溢出或软件中的其他漏洞来执行任意代码或破坏其正常操作造成的，则可能是恶意行为的迹象。
规则类型：查询
规则索引:
- logs-system.syslog-*
严重性：低
风险评分: 21
每隔：5 分钟运行一次
从以下时间开始搜索索引：now-9m（日期数学格式，另请参见 附加回溯时间）
每次执行的最大警报数: 100
参考：无
标签:
- 域：端点
- 操作系统：Linux
- 用例：威胁检测
- 策略：执行
- 规则类型：BBR
版本: 1
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
设置编辑
设置
此规则需要来自以下集成之一的数据：- Filebeat
Filebeat 设置
Filebeat 是一款轻量级转发器，用于转发和集中日志数据。作为代理安装在服务器上，Filebeat 监视指定的日志文件或位置，收集日志事件，并将它们转发到 Elasticsearch 或 Logstash 以进行索引。
应按以下步骤操作，为 Linux 系统添加 Filebeat
规则特定设置说明
- 此规则需要启用 Filebeat 系统模块。
- 系统模块收集和解析由常见基于 Unix/Linux 的发行版的系统日志服务创建的日志。
- 要在 Linux 上运行 Filebeat 的系统模块，请按照 帮助指南 中的设置说明进行操作。
规则查询编辑
host.os.type:linux and event.dataset:"system.syslog" and process.name:kernel and message:segfault
框架：MITRE ATT&CKTM
-
策略
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/