Linux-Bedrohungen
Dieses Dokument bietet einen Überblick über die Regelsätze in der Kategorie „Linux-Bedrohungen“, die erforderlichen Datenquellen und die Konfiguration, mit der Sie die von diesen Regelsätzen generierten Benachrichtigungen optimieren können.
Regelsätze in der Kategorie „Linux-Bedrohungen“ helfen, Bedrohungen in Linux-Umgebungen mithilfe von CrowdStrike Falcon, Linux Auditing System (AuditD) und Unix-Systemprotokollen zu identifizieren. Diese Kategorie umfasst die folgenden Regelsätze:
- Tools zur Rechteausweitung im Betriebssystem: Erkennt Verhaltensweisen, die häufig in Open-Source-Tools zur Rechteausweitung unter Linux auftreten.
- Persistenzmechanismen: Aktivitäten, die von Angreifern verwendet werden, um dauerhaften Zugriff auf Linux-Hosts zu erhalten und aufrechtzuerhalten.
- Änderungen von Berechtigungen: Aktivitäten im Zusammenhang mit privilegierten Authentifizierungsversuchen und -aktionen, die häufig zur Rechteausweitung oder Persistenz auf Linux-Hosts verwendet werden.
- Malware-Signale – Verdächtige LOTL-Binäraktivität: Erkennt verdächtige Szenarien für die Verwendung integrierter Tools (Living Off the Land) basierend auf der beobachteten Aktivität von Linux-Malware in realen Umgebungen.
- Malware-Signale – verdächtige Downloadaktivitäten: Erkennt Verhaltensweisen, die im Zusammenhang mit schädlichen Downloadaktivitäten unter Linux in realen Umgebungen beobachtet wurden.
- Malware-Signale – Verdächtige Ausführung: Erkennt Signale, die aus beobachteten Verhaltensweisen von Linux-Malware generiert werden, die in realen Umgebungen erkannt wurde, wobei der Schwerpunkt auf Ausführungsverhalten (TA0002) liegt.
- Mandiant Front-Line Threats: Dieser Regelsatz enthält Regeln, die aus der Untersuchung und Reaktion von Mandiant auf aktive Vorfälle weltweit abgeleitet wurden. Diese Regeln decken häufig auftretende TTPs ab, z. B. die Ausführung mit Skript-Interpretern (T1059), die Verwendung von Webdiensten für Command and Control (T1102) und die Verwendung von geplanten Aufgaben zur Aufrechterhaltung der Persistenz (T1053).
- Mandiant Intel Emerging Threats: Dieser Regelsatz enthält Regeln, die aus Mandiant Intelligence-Kampagnen und bedeutenden Ereignissen abgeleitet wurden. Diese decken laut Mandiant geopolitische und Bedrohungsaktivitäten mit hoher Auswirkung ab. Diese Aktivitäten können geopolitische Konflikte, Exploits, Phishing, Malvertising, Ransomware und Angriffe auf die Lieferkette umfassen.
Unterstützte Geräte und Protokolltypen
Regelsätze in der Kategorie „Linux-Bedrohungen“ wurden getestet und werden mit den folgenden von Google Security Operations unterstützten Datenquellen unterstützt:
- Linux-Prüfungssystem (
AUDITD) - Unix-System (
NIX_SYSTEM) - CrowdStrike Falcon (
CS_EDR)
Eine Liste aller von Google SecOps unterstützten Datenquellen finden Sie unter Unterstützte Standardparser.
Geräte so konfigurieren, dass sie die richtigen Protokolldaten generieren
Damit die Regeln in der Kategorie „Linux-Bedrohungen“ wie vorgesehen funktionieren, müssen Geräte Protokolldaten im erwarteten Format generieren. Konfigurieren Sie die folgenden persistenten Audit-Regeln für den Linux-Audit-Daemon auf jedem Gerät, auf dem Sie Logs erfassen und an Google SecOps senden möchten.
Weitere Informationen zum Implementieren persistenter Audit-Regeln für den Linux-Audit-Daemon finden Sie in der Dokumentation zum jeweiligen Betriebssystem.
# Inserts the machine hostname into each log event
name_format = hostname
# Process creation (32 and 64-bit)
-a exit,always -F arch=b32 -S execve
-a exit,always -F arch=b64 -S execve
# Persistence: Cron
-w /etc/cron.allow -p wa -k cron
-w /etc/cron.d/ -p wa -k cron
-w /etc/cron.daily/ -p wa -k cron
-w /etc/cron.deny -p wa -k cron
-w /etc/cron.hourly/ -p wa -k cron
-w /etc/cron.monthly/ -p wa -k cron
-w /etc/cron.weekly/ -p wa -k cron
-w /etc/crontab -p wa -k cron
-w /var/spool/cron/ -p wa -k cron
# Persistence: System Startup
-w /etc/init/ -p wa -k init
-w /etc/init.d/ -p wa -k init
-w /etc/inittab -p wa -k init
# Persistence: Systemd Units and Generators
-w /etc/systemd/user -p wa -k systemd
-w /usr/lib/systemd/user -p wa -k systemd
-w /var/lib/systemd/linger -p wa -k systemd
-w /root/.config/systemd/user -p wa -k systemd
-w /etc/systemd/system -p wa -k systemd
-w /usr/lib/systemd/system -p wa -k systemd
-w /run/systemd/system-generators -p wa -k systemd
-w /etc/systemd/system-generators -p wa -k systemd
-w /usr/local/lib/systemd/system-generators -p wa -k systemd
-w /usr/lib/systemd/system-generators -p wa -k systemd
-w /run/systemd/user-generators -p wa -k systemd
-w /etc/systemd/user-generators -p wa -k systemd
-w /usr/local/lib/systemd/user-generators -p wa -k systemd
-w /usr/lib/systemd/user-generators -p wa -k systemd
# Persistence: IAM
-w /etc/group -p wa -k iam_etcgroup
-w /etc/passwd -p wa -k iam_etcpasswd
-w /etc/gshadow -k iam_etcgroup
-w /etc/shadow -k iam_etcpasswd
-w /etc/sudoers -p wa -k iam_sudoers
-w /etc/sudoers.d/ -p wa -k iam_sudoers_d
-w /usr/bin/passwd -p x -k iam_passwd
-w /usr/sbin/groupadd -p x -k iam_groupmod
-w /usr/sbin/groupmod -p x -k iam_groupmod
-w /usr/sbin/addgroup -p x -k iam_groupmod
-w /usr/sbin/useradd -p x -k iam_usermod
-w /usr/sbin/userdel -p x -k iam_usermod
-w /usr/sbin/usermod -p x -k iam_usermod
-w /usr/sbin/adduser -p x -k iam_usermod
# Privilege Escalation
-w /bin/su -p x -k privesc
-w /usr/bin/sudo -p x -k privesc
# Persistence: Libraries
-w /etc/ld.so.conf -p wa -k libmod
-w /etc/ld.so.conf.d -p wa -k libmod
-w /etc/ld.so.preload -p wa -k libmod
# Persistence: PAM
-w /etc/pam.d/ -p wa -k pam
-w /etc/security/ -p wa -k pam
# Persistence: SSH
-w /etc/ssh/ -p wa -k sshconfig
-w /root/.ssh/ -p wa -k sshconfig
# Persistence: Shell Configuration
-w /etc/bashrc -p wa -k shellconfig
-w /etc/csh.cshrc -p wa -k shellconfig
-w /etc/csh.login -p wa -k shellconfig
-w /etc/fish/ -p wa -k shellconfig
-w /etc/profile -p wa -k shellconfig
-w /etc/profile.d/ -p wa -k shellconfig
-w /etc/shells -p wa -k shellconfig
-w /etc/zsh/ -p wa -k shellconfig
# Injection
-a always,exit -F arch=b32 -S ptrace
-a always,exit -F arch=b64 -S ptrace
# Failed Access Attempts
-a always,exit -F arch=b64 -S open -F dir=/bin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/etc -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/home -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/sbin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/srv -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/usr/bin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/usr/sbin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/var -F success=0 -k file_err
# Network connections
-a always,exit -F arch=b64 -S connect -F a2=16 -F success=1 -k net_v4
-a always,exit -F arch=b32 -S connect -F a2=16 -F success=1 -k net_v4
-a always,exit -F arch=b64 -S connect -F a2=28 -F success=1 -k net_v6
-a always,exit -F arch=b32 -S connect -F a2=28 -F success=1 -k net_v6
-a always,exit -F arch=b32 -S socket -F a0=2 -k sock_v4
-a always,exit -F arch=b64 -S socket -F a0=2 -k sock_v4
-a always,exit -F arch=b32 -S socket -F a0=10 -k sock_v6
-a always,exit -F arch=b64 -S socket -F a0=10 -k sock_v6
Für die Kategorie „Linux-Bedrohungen“ erforderliche Felder
Im folgenden Abschnitt werden die spezifischen Daten beschrieben, die von Regelsätzen in der Kategorie „Linux-Bedrohungen“ benötigt werden, um den größtmöglichen Nutzen zu erzielen. Achten Sie darauf, dass Ihre Geräte so konfiguriert sind, dass die folgenden Daten in den Geräteereignisprotokollen aufgezeichnet werden.
Dataset |
UDM-Feld (in dem Daten gespeichert werden) |
Definition |
|---|---|---|
Hauptprozesspfad |
|
Speicherort des aktuell ausgeführten Prozesses auf dem Laufwerk, falls verfügbar. |
Befehlszeile des Hauptprozesses |
|
Befehlszeilenparameter des Prozesses, falls verfügbar. |
Zielprozesspfad |
|
Speicherort des Zielprozesses auf dem Laufwerk, falls verfügbar. |
Befehlszeile des Zielprozesses |
|
Befehlszeile |
Netzwerk-DNS-Abfragedomain |
|
Domainname von DNS-Abfragen, falls verfügbar. |
Von der Kategorie „Linux-Bedrohungen“ zurückgegebene Benachrichtigungen optimieren
Sie können die Anzahl der Erkennungen, die eine Regel oder ein Regelsatz generiert, mithilfe von Regelausschlüssen reduzieren.
Im Regelausschluss definieren Sie die Kriterien eines UDM-Ereignisses, die das Ereignis von der Auswertung durch den Regelsatz ausschließen.
Erstellen Sie einen oder mehrere Regelausschlüsse, um Kriterien in einem UDM-Ereignis zu identifizieren, die das Ereignis von der Auswertung durch diesen Regelsatz oder durch bestimmte Regeln im Regelsatz ausschließen. Weitere Informationen finden Sie unter Benachrichtigungsunterdrückung konfigurieren.
Sie können Ereignisse beispielsweise anhand der folgenden UDM-Felder ausschließen:
principal.hostnametarget.user.useridprincipal.process.command_linetarget.domain.nametarget.process.command_line
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten