Безопасность: входы, учётные записи, перебор паролей
Дашборд «Безопасность» и шесть алертов категории «Безопасность» включены у всех клиентов. Они работают на тех же логах, что уже собирает агент, — отдельно ничего ставить не нужно.
Откуда берутся события
Linux
Из системного журнала (journald), любой версии агента:
- SSH — неудачные входы (несуществующий пользователь, неверный пароль, отвергнутый ключ) и успешные — с пометкой «по паролю» или «по ключу»; отдельно — вход под root по паролю;
- учётные записи — создание пользователя, добавление в группы
sudo,wheel,admin,root,docker; - sudo — кто и какую команду выполнил от имени другого пользователя;
- фаервол UFW — заблокированные подключения (если в UFW включено журналирование:
ufw logging low).
Windows
Из журнала Security (агент 1.6.2 и новее). Журнал Security на сервере — тысячи записей в час, поэтому агент передаёт только значимые события:
| Событие | Что означает |
|---|---|
| 4624 | успешный вход — только интерактивный, по RDP и по кэшированным данным; сетевые и служебные входы отбрасываются |
| 4625 | неудачный вход |
| 4740 | учётная запись заблокирована политикой блокировки |
| 4720, 4726, 4722 | учётная запись создана, удалена, включена |
| 4723, 4724 | смена и сброс пароля |
| 4728, 4732, 4756 | добавление в группу; в «Администраторы», «Пользователи удалённого рабочего стола», Domain/Enterprise/Schema Admins — отдельно, по SID группы (не зависит от языка Windows) |
| 1102, 4719 | очищен журнал безопасности, изменена политика аудита |
auditpol /get /category:* в консоли администратора.Дашборд «Безопасность»
- За период — неудачные и успешные входы, входы root по паролю, новые пользователи, добавления в привилегированные группы, очистки журнала;
- Неудачные входы по хостам — график SSH и Windows;
- Откуда перебирают — адреса с неудачными входами: сколько попыток, на скольких хостах, сколько разных логинов пробовали; если с такого адреса потом вошли успешно, он будет и в «Успешных входах»;
- Какие логины подбирают и Успешные входы — кто, куда, откуда и как вошёл;
- свёрнутые разделы Учётные записи и группы, sudo, Фаервол (UFW) — кто стучится в закрытые порты и в какие.
Алерты
| Алерт | Когда срабатывает | Важность |
|---|---|---|
| Перебор паролей | неудачных входов (SSH или Windows) на хосте больше 30 за 5 минут; порог меняется | warning |
| Вход под root по паролю | sshd принял пароль пользователя root | warning |
| Создан пользователь | useradd на Linux, событие 4720 на Windows | warning |
| Пользователь добавлен в администраторы | добавление в привилегированную группу (список выше) | critical |
| Учётная запись заблокирована | Windows, событие 4740 | warning |
| Очищен журнал безопасности | Windows, события 1102 и 4719 — так заметают следы после взлома | critical |
Как это устроено: раз в минуту платформа считает по логам события за последние 5 минут и публикует метрику voltir_security_events{host, type}. Алерт держится около 5 минут после события («Перебор паролей» — ещё 10 минут после спада), затем закрывается сам. Любой алерт можно выключить или поменять в разделе «Алерты» портала — см. Алерты и уведомления.
По той же метрике пишутся свои правила. Значения type: ssh_fail, ssh_login, root_password_login, user_created, admin_group_add, logon_fail, logon_ok, lockout, log_cleared, audit_policy_changed, sudo, firewall_block. Например, много sudo за 5 минут:
voltir_security_events{type="sudo"} > 20
Что делать, если сработало
- Перебор паролей на сервере с открытым в интернет SSH идёт постоянно. Лечится не порогом, а настройкой: вход только по ключу (
PasswordAuthentication noв/etc/ssh/sshd_config) и fail2ban. Если это ваш случай и перебор не опасен — поднимите порог. - Вход под root по паролю — даже если входили вы, сервер открыт перебору. Вход по ключу этого алерта не даёт.
- Новый пользователь, администратор, очистка журнала — проверьте в дашборде, кто это сделал; если не вы и не ваши коллеги — это инцидент.