定義一個日誌檢查規則以用於政策

注意 分配給一台或多台電腦或屬於某個政策的日誌檢查規則無法刪除。

• 建立新的日誌檢查規則
• 解碼器
• 子規則
• 真實世界範例
• 日誌檢查規則嚴重性級別及其建議使用方式
• strftime() 轉換規範
• 檢查日誌檢查規則

建立新的日誌檢查規則

1. 在 Server & Workload Security保護 主控台中，依次選擇 Policies → Common Objects → Rules → Log Inspection Rules。
2. 點選 New → New Log Inspection Rule。
3. 在General標籤上，輸入規則的名稱和可選的描述。
4. Content 標籤是您定義規則的地方。定義規則的最簡單方法是選擇 Basic Rule 並使用提供的選項來定義規則。如果您需要進一步自訂，可以選擇 Custom (XML) 切換到您正在定義的規則的 XML 視圖。

   注意 如果您切換回基本規則視圖，您在自訂（XML）視圖中所做的任何更改都將丟失。

   如需進一步協助撰寫使用基於 XML 語言的日誌檢查規則，請參閱 OSSEC 文件或聯繫您的技術支援中心。

• 規則 ID：規則 ID 是規則的唯一標識符。OSSEC 將 100000 - 109999 定義為用戶自定義規則的範圍。Server & Workload Security保護 將預填充該字段為新的唯一規則 ID。
• Level：指派一個等級給該規則。零 (0) 表示該規則永遠不會記錄事件，儘管監視此規則的其他規則可能會觸發。
• Groups：將規則指派給一個或多個以逗號分隔的群組。這在使用依賴性時很有用，因為您可以創建在規則觸發時觸發的規則，或屬於特定群組的規則。
• Rule Description：規則描述。
• Pattern Matching：這是規則在日誌中尋找的模式。規則在匹配時會被觸發。模式匹配支持正則表達式或簡單的字串模式。「字串模式」病毒碼類型比正則表達式更快，但它只支持三種特殊操作：
  • ^ (caret)：指定文本的開始
  • $ (dollar sign)：指定文本結束
  • | (pipe)：在多個模式之間創建 "OR"。有關日誌檢查模組使用的正則表達式語法的資訊，請參閱 https://www.ossec.net/docs/syntax/regex.html。
• Dependency：設定對另一個規則的依賴將導致您的規則僅在此區域中指定的規則也已觸發時才記錄事件。
• Frequency：在規則被觸發之前，規則必須在特定時間範圍內匹配的次數。
• Time Frame：在此秒數內，規則必須觸發一定次數（如上所述的頻率）才能記錄事件。

注意 Content 標籤僅顯示在您自行建立的日誌檢查規則中。趨勢科技發佈的日誌檢查規則則會顯示 Configuration 標籤，該標籤顯示日誌檢查規則的配置選項（如果有的話）。

1. 在Files標籤上，輸入您想要規則監控的檔案的完整路徑，並指定檔案類型。
2. 在選項標籤的警訊部分，選擇此規則是否在Server & Workload Security保護中觸發警報。警報最低嚴重性等級設置將觸發使用基本規則或自訂（XML）模板製作的規則的警報的最低嚴重性等級。

   注意 基本規則範本一次創建一個規則。要在單個範本中編寫多個規則，您可以使用自訂 (XML) 範本。如果您在自訂 (XML) 範本中創建具有不同級別的多個規則，您可以使用 Alert Minimum Severity 設定來選擇觸發該範本中所有規則警報的最低嚴重性。

3. Assigned To 標籤列出使用此日誌檢查規則的政策和電腦。由於您正在創建一個新規則，因此尚未分配。
4. 點選確定。規則已準備好分配給政策和電腦。

解碼器

• log：事件的訊息部分
• full_log：整個事件
• location：日誌來源
• hostname：事件來源的主機名
• program_name：事件的 syslog 標頭中的程式名稱
• srcip：事件中的來源 IP 地址
• dstip：事件中的目標 IP 位址
• srcport：事件中的來源通訊埠號碼
• dstport：事件中的目標通訊埠號碼
• protocol：事件中的通訊協定
• action：事件中的中毒處理行動
• srcuser：事件中的原始使用者
• dstuser：事件中的目標用戶
• id：任何被解碼為事件ID的ID
• status：事件中的解碼狀態
• command：事件中被調用的命令
• url：事件中的 URL
• data：從事件中提取的任何其他資料
• systemname：事件中的系統名稱

• 可以發出警報。（可在日誌檢查規則的Properties視窗的選項標籤中進行配置。）
• 該事件可以寫入 syslog。（可在 Administration → System Settings → Event Forwarding 標籤的 SIEM 區域中配置。）
• 事件可以發送到 Server & Workload Security保護。（可在 Policy or Computer Editor → Settings → Event Forwarding 標籤的 Log Inspection Syslog Configuration 設定中配置。）

子規則

群組

<group name="syslog,sshd,">
</group>

注意 請注意群組名稱中的逗號。如果您打算使用 <if_group></if_group> 標籤來有條件地附加另一個子規則，則需要使用逗號。

注意 當一組日誌檢查規則被發送到代理程式時，代理程式上的日誌檢查引擎會從每個指派的規則中提取 XML 資料，並將其組合成一個實質上是單一的長日誌檢查規則。一些群組定義是所有由趨勢科技編寫的日誌檢查規則所共有的。因此，趨勢科技包含了一個名為「預設規則配置」的規則，該規則定義了這些群組，並且總是與任何其他趨勢科技規則一起被指派。（如果您選擇了一個規則進行指派，但沒有同時選擇「預設規則配置」規則，則會出現通知，告知您該規則將自動被指派。）*如果您創建了自己的日誌檢查規則並將其指派給電腦防護，而未指派任何趨勢科技編寫的規則，您必須將「預設規則配置」規則的內容複製到您的新規則中，或者也選擇「預設規則配置」規則進行指派給電腦防護。*

規則、ID 和等級

<group name="syslog,sshd,">
    <rule id="100120" level="5">
    </rule>
    <rule id="100121" level="6">
    </rule>
</group>

注意 自訂規則的 ID 值必須為 100,000 或更大。

注意 如果事件自動標記已啟動，事件將會被標記為群組名稱。趨勢科技提供的日誌檢查規則使用一個轉換表，將群組名稱更改為更易於理解的版本。因此，例如 "login_denied" 會顯示為 "Login Denied"。自訂規則將按其在規則中顯示的群組名稱列出。

說明

<group name="syslog,sshd,">
    <rule id="100120" level="5">
        <group>authentication_success</group>
        <description>SSHD testing authentication success</description>
    </rule>
    <rule id="100121" level="6">
        <description>SSHD rule testing 2</description>
    </rule>
</group>

解碼為

<rule id="100123" level="5">
    <decoded_as>sshd</decoded_as>
    <description>Logging every decoded sshd message</description>
</rule>

注意 要查看可用的解碼器，請前往Log Inspection Rule頁面並點選Decoders.。右鍵點選1002791-Default Log Decoders並選擇Properties。前往Configuration標籤並點選View Decoders。

匹配

Jan 1 12:34:56 linux_server sshd[1231]: Failed password for invalid user jsmith from 192.168.1.123 port 1799 ssh2

<rule id="100124" level="5">
    <decoded_as>sshd</decoded_as>
    <match>^Failed password</match>
    <description>Failed SSHD password attempt</description>
</rule>

注意 請注意正則表達式的插入符號（"^"）表示字串的開頭。雖然 "Failed password" 並未出現在日誌的開頭，但日誌檢查解碼器會將日誌分成多個部分。請參閱 解碼器 以獲取詳細資訊。其中一個部分是 "log"，即日誌的訊息部分，而 "full_log" 則是整個日誌。

條件語句

<group name="syslog,sshd,">
    <rule id="100123" level="2">
        <decoded_as>sshd</decoded_as>
        <description>Logging every decoded sshd message</description>
    </rule>
    <rule id="100124" level="7">
        <if_sid>100123</if_sid>
        <match>^Failed password</match>
        <group>authentication_failure</group>
        <description>Failed SSHD password attempt</description>
    </rule>
    <rule id="100125" level="3">
        <if_sid>100123</if_sid>
        <match>^Accepted password</match>
        <group>authentication_success</group>
        <description>Successful SSHD password attempt</description>
    </rule>
</group>

評估層級

注意 層次化的父子結構可用於提高您規則的效率。如果父規則未評估為真，日誌檢查引擎將暫不處理該父規則的子規則。

注意 儘管 <if_sid></if_sid> 標籤可以用來引用完全不同的日誌檢查規則中的子規則，但您應避免這樣做，因為這會使規則在日後非常難以審查。

<rule id="100127" level="10">
    <if_sid>100125</if_sid>
    <time>6 pm - 8:30 am</time>
    <description>Login outside business hours.</description>
    <group>policy_violation</group>
</rule>

日誌條目大小限制

<rule id="100127" level="10" maxsize="2000">
    <if_sid>100125</if_sid>
    <time>6 pm - 8:30 am</time> 
    <description>Login outside business hours.</description>
    <group>policy_violation</group>
</rule>

複合規則

<rule id="100130" level="10" frequency="x" timeframe="y">
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
    <if_matched_sid>100124</if_matched_sid>
    <description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
    <if_matched_group>authentication_failure</if_matched_group>
    <same_source_ip />
    <description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
    <if_matched_regex>^Failed password</if_matched_regex>
    <same_source_ip />
    <description>5 Failed passwords within 10 minutes</description>
</rule>

真實世界範例

1. 應用程式記錄到哪裡？
2. 哪個日誌檢查解碼器可用於解碼日誌文件？
3. 日誌檔案訊息的一般格式是什麼？

1. Windows 事件檢視器
2. Windows 事件日誌 (eventlog)
3. 具有以下核心屬性的 Windows 事件日誌格式：
   • 來源：CMS
   • 類別：無
   • 事件: <應用程式事件 ID>

• CMS 應用程式日誌 (來源: CMS)
  • 驗證（事件：100 至 119）
    • 用戶登入成功（事件：100）
    • 用戶登入失敗（事件：101）
    • 管理員登入成功（事件：105）
    • 管理員登入失敗（事件：106）
  • 一般錯誤（類型：錯誤）
    • 資料庫錯誤（事件：200 至 205）
    • 執行時錯誤（事件：206-249）
  • 應用程式稽核（類型：資訊）
    • 內容
      • 新增內容（事件：450 至 459）
      • 現有內容已修改（事件：460 至 469）
      • 現有內容已刪除（事件：470 至 479）
    • 管理
      • 使用者
        • 已建立新使用者（事件：445 至 446）
        • 現有使用者已刪除（事件：447 至 449）

1. 在 Server & Workload Security保護 主控台中，前往 Policies → Common Objects → Rules → Log Inspection Rules，然後點選 New 以顯示 New Log Inspection Rule Properties 視窗。
2. 給新規則命名並添加描述，然後點選Content標籤。
3. 最快速建立新自訂規則的方法是從基本規則範本開始。選擇Basic Rule單選按鈕。
4. 規則 ID 欄位將自動填入 100,000 或更大的未使用 ID 號碼，這些 ID 是為自訂規則保留的。
5. 將 Level 設定為 Low (0)。
6. 給這個規則一個適當的群組名稱。在這種情況下，為 "cms"。
7. 提供簡短的規則描述。
   
8. 現在選擇Custom (XML)選項。您為「基本」規則選擇的選項將被轉換為XML。
   
9. 點選Files標籤，然後點選Add File按鈕，以新增規則將應用於的任何應用程式日誌檔案和日誌類型。在此情況下，檔案類型為「Application」和「eventlog」。
   

   注意 Eventlog 是 Server & Workload Security保護 中的一種獨特檔案類型，因為日誌檔案的 位置資訊 和檔案名稱不需要被指定。相反地，只需輸入在 Windows 事件檢視器中顯示的日誌名稱即可。eventlog 檔案類型的其他日誌名稱可能是 "Security"、"System"、"Internet Explorer" 或 Windows 事件檢視器中列出的任何其他部分。其他檔案類型則需要指定日誌檔案的 位置資訊 和檔案名稱。（C/C++ strftime() 轉換規範可用於匹配檔案名稱。請參閱下表以獲取一些更有用的規範。）

10. 點選確定以儲存基本規則。
11. 使用已建立的基本規則自訂 (XML)，我們可以開始根據先前識別的日誌分組向群組添加新規則。我們將基本規則條件設置為初始規則。在以下示例中，CMS 基本規則已識別出具有 "CMS" 來源屬性的 Windows 事件日誌：

    <group name="cms">
        <rule id="100000" level="0">
        <category>windows</category>
        <extra_data>^CMS</extra_data>
        <description>Windows events from source 'CMS' group messages.</description>
    </rule>

12. 現在我們從已識別的日誌組建立後續規則。以下範例通過事件 ID 識別驗證和登錄成功與失敗並記錄。

    <rule id="100001" level="0">
        <if_sid>100000</if_sid>
        <id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
        <group>authentication</group>
        <description>CMS Authentication event.</description>
    </rule>
    
    <rule id="100002" level="0">
        <if_group>authentication</if_group>
        <id>100</id>
        <description>CMS User Login success event.</description>
    </rule>
    
    <rule id="100003" level="4">
        <if_group>authentication</if_group>
        <id>101</id> <group>authentication_failure</group>
        <description>CMS User Login failure event.</description>
    </rule>
    
    <rule id="100004" level="0">
        <if_group>authentication</if_group>
        <id>105</id>
        <description>CMS Administrator Login success event.</description>
    </rule>
    
    <rule id="100005" level="4">
        <if_group>authentication</if_group>
        <id>106</id>
        <group>authentication_failure</group>
        <description>CMS Administrator Login failure event.</description>
    </rule>

13. 現在我們使用已建立的規則添加任何複合或關聯規則。以下示例顯示了一個高嚴重性複合規則，該規則適用於在10秒的時間範圍內重複登錄失敗5次的情況：

    <rule id="100006" level="10" frequency="5" timeframe="10">
        <if_matched_group>authentication_failure</if_matched_group>
        <description>CMS Repeated Authentication Login failure event.</description>
    </rule>

14. 檢查所有規則的適當嚴重性級別。例如，錯誤記錄檔應具有5級或更高的嚴重性。資訊性規則則會有較低的嚴重性。
15. 最後，打開新創建的規則，點選Configuration標籤，並將您的自訂規則 XML 複製到規則欄位中。點選Apply或確定以保存更改。

<group name="cms">
    <rule id="100000" level="0">
        <category>windows</category>
        <extra_data>^CMS</extra_data>
        <description>Windows events from source 'CMS' group messages.</description>
    </rule>
    <rule id="100001" level="0">
        <if_sid>100000</if_sid>
        <id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
        <group>authentication</group>
        <description>CMS Authentication event.</description>
    </rule>
    <rule id="100002" level="0">
        <if_group>authentication</if_group>
        <id>100</id>
        <description>CMS User Login success event.</description>
    </rule>
    <rule id="100003" level="4">
        <if_group>authentication</if_group>
        <id>101</id>
        <group>authentication_failure</group>
        <description>CMS User Login failure event.</description>
    </rule>
    <rule id="100004" level="0">
        <if_group>authentication</if_group>
        <id>105</id>
        <description>CMS Administrator Login success event.</description>
    </rule>
    <rule id="100005" level="4">
        <if_group>authentication</if_group>
        <id>106</id>
        <group>authentication_failure</group>
        <description>CMS Administrator Login failure event.</description>
    </rule>
    <rule id="100006" level="10" frequency="5" timeframe="10">
        <if_matched_group>authentication_failure</if_matched_group>
        <description>CMS Repeated Authentication Login failure event.</description>
    </rule>
    <rule id="100007" level="5">
        <if_sid>100000</if_sid>
        <status>^ERROR</status>
        <description>CMS General error event.</description>
        <group>cms_error</group>
    </rule>
    <rule id="100008" level="10">
        <if_group>cms_error</if_group>
        <id>^200|^201|^202|^203|^204|^205</id>
        <description>CMS Database error event.</description>
    </rule>
    <rule id="100009" level="10">
        <if_group>cms_error</if_group>
        <id>^206|^207|^208|^209|^230|^231|^232|^233|^234|^235|^236|^237|^238|
        ^239^|240|^241|^242|^243|^244|^245|^246|^247|^248|^249</id>
        <description>CMS Runtime error event.</description>
    </rule>
    <rule id="100010" level="0">
        <if_sid>100000</if_sid>
        <status>^INFORMATION</status>
        <description>CMS General informational event.</description>
        <group>cms_information</group>
    </rule>
    <rule id="100011" level="5">
        <if_group>cms_information</if_group> 
        <id>^450|^451|^452|^453|^454|^455|^456|^457|^458|^459</id>
        <description>CMS New Content added event.</description>
    </rule>
    <rule id="100012" level="5">
        <if_group>cms_information</if_group>
        <id>^460|^461|^462|^463|^464|^465|^466|^467|^468|^469</id>
        <description>CMS Existing Content modified event.</description>
    </rule>
    <rule id="100013" level="5">
        <if_group>cms_information</if_group>
        <id>^470|^471|^472|^473|^474|^475|^476|^477|^478|^479</id>
        <description>CMS Existing Content deleted event.</description>
    </rule>
    <rule id="100014" level="5">
        <if_group>cms_information</if_group>
        <id>^445|^446</id>
        <description>CMS User created event.</description>
    </rule>
    <rule id="100015" level="5">
        <if_group>cms_information</if_group>
        <id>^447|449</id>
        <description>CMS User deleted event.</description>
    </rule>
</group>

日誌檢查規則嚴重性級別及其建議使用

strftime() 轉換規範

檢查日誌檢查規則

日誌檢查規則結構和事件匹配過程

• 3800 - 匯率規則分組 - 暫不處理
  • 3801 - 電子郵件收件人無效（無效帳戶）- 中 (4)
    • 3851 - 多次嘗試向無效帳戶發送電子郵件 - 高 (9)
      • 頻率 - 10
      • 時間範圍 - 120
      • 暫不處理 - 120
  • 3802 - 電子郵件 500 錯誤碼 - 中 (4)
    • 3852 - 電子郵件 500 錯誤碼 (垃圾郵件) - 高 (9)
      • 頻率 - 12
      • 時間範圍 - 120
      • 暫不處理 - 240

重複的子規則