Linux 威胁类别概览
本文档简要介绍了 Linux 威胁类别中的规则集、所需的数据源，以及可用于调整这些规则集生成的提醒的配置。
“Linux 威胁”类别中的规则集有助于使用 CrowdStrike Falcon、Linux Auditing System (AuditD) 和 Unix 系统日志识别 Linux 环境中的威胁。此类别包括以下规则集：
- 操作系统特权升级工具：检测开源 Linux 提权工具中常见的行为。
- 持久性机制：攻击者用于在 Linux 主机上建立和维护持久性访问权限的活动。
- 权限修改：与特权身份验证尝试和操作相关联的活动，通常用于在 Linux 主机上提升权限或保留这些活动。
- 恶意软件信号 - 可疑的 LOTL 二进制活动：根据在现实环境中观察到的 Linux 恶意软件的活动情况，检测可疑的原生工具使用方式（陆地上生存）场景。
- 恶意软件信号 - 可疑下载活动：检测与现实环境中 Linux 上的恶意下载活动有关的行为。
- 恶意软件信号 - 可疑执行：检测根据在现实环境中检测到的 Linux 恶意软件的行为生成的信号，重点关注执行 (TA0002) 行为。
支持的设备和日志类型
“Linux 威胁”类别中的规则集已经过测试，并且受 Chronicle 支持的以下数据源支持：
- Linux 审核系统 (
AUDITD) - Unix 系统 (
NIX_SYSTEM) - CrowdStrike Falcon（
CS_EDR）
如需查看 Chronicle 支持的所有数据源的列表，请参阅支持的默认解析器
配置设备以生成正确的日志数据
为了使 Linux 威胁类别中的规则能够按预期运行，设备必须以预期格式生成日志数据。在您将收集日志并发送到 Chronicle 的每台设备上为 Linux 审核守护程序配置以下永久性审核规则。
如需详细了解如何为 Linux 审核守护程序实现永久性审核规则，请参阅特定于操作系统的文档。
# Process creation (32 and 64-bit)
-a exit,always -F arch=b32 -S execve
-a exit,always -F arch=b64 -S execve
# Persistence: Cron
-w /etc/cron.allow -p wa -k cron
-w /etc/cron.d/ -p wa -k cron
-w /etc/cron.daily/ -p wa -k cron
-w /etc/cron.deny -p wa -k cron
-w /etc/cron.hourly/ -p wa -k cron
-w /etc/cron.monthly/ -p wa -k cron
-w /etc/cron.weekly/ -p wa -k cron
-w /etc/crontab -p wa -k cron
-w /var/spool/cron/ -p wa -k cron
# Persistence: System Startup
-w /etc/init/ -p wa -k init
-w /etc/init.d/ -p wa -k init
-w /etc/inittab -p wa -k init
# Persistence: Systemd Units and Generators
-w /etc/systemd/user -p wa -k systemd
-w /usr/lib/systemd/user -p wa -k systemd
-w /var/lib/systemd/linger -p wa -k systemd
-w /root/.config/systemd/user -pa wa -k systemd
-w /etc/systemd/system -p wa -k systemd
-w /usr/lib/systemd/system -p wa -k systemd
-w /run/systemd/system-generators -p wa -k systemd
-w /etc/systemd/system-generators -p wa -k systemd
-w /usr/local/lib/systemd/system-generators -p wa -k systemd
-w /usr/lib/systemd/system-generators -p wa -k systemd
-w /run/systemd/user-generators -pa wa -k systemd
-w /etc/systemd/user-generators -pa wa -k systemd
-w /usr/local/lib/systemd/user-generators -pa wa -k systemd
-w /usr/lib/systemd/user-generators -pa wa -k systemd
# Persistence: IAM
-w /etc/group -p wa -k iam_etcgroup
-w /etc/passwd -p wa -k iam_etcpasswd
-w /etc/gshadow -k iam_etcgroup
-w /etc/shadow -k iam_etcpasswd
-w /etc/sudoers -p wa -k iam_sudoers
-w /etc/sudoers.d/ -p wa -k iam_sudoers_d
-w /usr/bin/passwd -p x -k iam_passwd
-w /usr/sbin/groupadd -p x -k iam_groupmod
-w /usr/sbin/groupmod -p x -k iam_groupmod
-w /usr/sbin/addgroup -p x -k iam_groupmod
-w /usr/sbin/useradd -p x -k iam_usermod
-w /usr/sbin/userdel -p x -k iam_usermod
-w /usr/sbin/usermod -p x -k iam_usermod
-w /usr/sbin/adduser -p x -k iam_usermod
# Privilege Escalation
-w /bin/su -p x -k privesc
-w /usr/bin/sudo -p x -k privesc
# Persistence: Libraries
-w /etc/ld.so.conf -p wa -k libmod
-w /etc/ld.so.conf.d -p wa -k libmod
-w /etc/ld.so.preload -p wa -k libmod
# Persistence: PAM
-w /etc/pam.d/ -p wa -k pam
-w /etc/security/ -p wa -k pam
# Persistence: SSH
-w /etc/ssh/ -p wa -k sshconfig
-w /root/.ssh/ -p wa -k sshconfig
# Persistence: Shell Configuration
-w /etc/bashrc -p wa -k shellconfig
-w /etc/csh.cshrc -p wa -k shellconfig
-w /etc/csh.login -p wa -k shellconfig
-w /etc/fish/ -p wa -k shellconfig
-w /etc/profile -p wa -k shellconfig
-w /etc/profile.d/ -p wa -k shellconfig
-w /etc/shells -p wa -k shellconfig
-w /etc/zsh/ -p wa -k shellconfig
# Injection
-a always,exit -F arch=b32 -S ptrace
-a always,exit -F arch=b64 -S ptrace
# Failed Access Attempts
-a always,exit -F arch=b64 -S open -F dir=/bin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/etc -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/home -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/sbin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/srv -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/usr/bin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/usr/sbin -F success=0 -k file_err
-a always,exit -F arch=b64 -S open -F dir=/var -F success=0 -k file_err
# Network connections
-a always,exit -F arch=b64 -S connect -F a2=16 -F success=1 -k net_v4
-a always,exit -F arch=b32 -S connect -F a2=16 -F success=1 -k net_v4
-a always,exit -F arch=b64 -S connect -F a2=28 -F success=1 -k net_v6
-a always,exit -F arch=b32 -S connect -F a2=28 -F success=1 -k net_v6
-a always,exit -F arch=b32 -S socket -F a0=2 -k sock_v4
-a always,exit -F arch=b64 -S socket -F a0=2 -k sock_v4
-a always,exit -F arch=b32 -S socket -F a0=10 -k sock_v6
-a always,exit -F arch=b64 -S socket -F a0=10 -k sock_v6
调整 Linux 威胁类别返回的提醒
您可以使用规则排除来减少规则或规则集生成的检测次数。
在规则排除中，您可以定义 UDM 事件的条件，以便将事件排除在由规则集评估之外。
创建一个或多个规则排除项，以标识 UDM 事件中的条件，这些条件会排除相应事件，使其不按此规则集或规则集中的特定规则进行评估。如需了解具体做法，请参阅配置规则排除项。
例如，您可以根据以下 UDM 字段排除事件：
principal.hostnametarget.user.userid