Tôi đang theo dõi máy chủ của mình bằng Wazuh 4.1.x.Máy chủ của tôi là Ubuntu và CentOS. Chúng cũng được theo dõi bằng Icinga2 và tác nhân NRPE. Wazuh đang ghi nhật ký tất cả các xác thực sudo hoặc các lệnh được chạy với sudo (điều này không sao cả). Nhưng vì một số lệnh nrpe cần được thực thi với sudo nên tôi muốn bỏ qua tất cả yêu cầu sudo từ người dùng nagios. Những gì tôi đã thử cho đến nay là:
Tôi đã thêm một nhóm tùy chỉnh và một quy tắc tùy chỉnh trong /var/ossec/etc/rules/local_rules.xml như thế này:
<group name="exceptions,">
<rule id="101101" level="0">
<if_sid>5402</if_sid>
<match>sudo: nagios</match>
<description>Ignore sudo auth for nagios user</description>
<group>pci_dss_10.2.5,pci_dss_10.2.2,gpg13_7.6,gpg13_7.8,gpg13_7.13,gdpr_IV_32.2,hipaa_164.312.b,nist_800_53_AU.14,nist_800_53_AC.7,nist_800_53_AC.6,tsc_CC6.8,tsc_CC7.2,tsc_CC7.3,</group>
</rule>
<rule id="101102" level="0">
<if_sid>5402</if_sid>
<match>sudo: nrpe</match>
<description>Ignore sudo auth for nagios user</description>
<group>pci_dss_10.2.5,pci_dss_10.2.2,gpg13_7.6,gpg13_7.8,gpg13_7.13,gdpr_IV_32.2,hipaa_164.312.b,nist_800_53_AU.14,nist_800_53_AC.7,nist_800_53_AC.6,tsc_CC6.8,tsc_CC7.2,tsc_CC7.3,</group>
</rule>
</group>
5402 là quy tắc sudo mặc định từ Wazuh.
Trong alerts.log tôi có thể thấy điều này cho Sudo:
Ngày 19 tháng 8 23:05:25 báo cáo Sudo: nrpe : TTY=unknown ; NKT=/ ; NGƯỜI DÙNG=gốc ; LỆNH=/usr/lib64/nagios/plugins/check_procs -c 1: -C nrpe
Ngày 19 tháng 8 23:05:25 báo cáo Sudo: pam_unix(sudo:session): phiên mở cho người dùng root bởi (uid=0)
20 tháng 8 00:51:27 chuyển sudo: pam_unix(sudo:session): phiên được mở cho người dùng root bởi (uid=0)
Ngày 20 tháng 8 00:51:27 chuyển sudo: pam_unix(sudo:session): đóng phiên cho người dùng root
** Cảnh báo 1629414327.485693326: - Syslog, sudo, pci_dss_10.2.5, pci_dss_10.2.2, gpg13_7.6, gpg13_7.8, gpg13_7.13, gdpr_ 6,tsc_CC6.8,tsc_CC7.2,tsc_CC7.3,
Quy tắc: 5402 (cấp 3) -> 'Đã thực hiện sudo thành công để ROOT.'
Ngày 20 tháng 8 00:51:27 chuyển sudo: nagios : TTY=unknown ; NKT=/ ; NGƯỜI DÙNG=gốc ; LỆNH=/usr/lib/nagios/plugins/check_procs -c 1: --ereg-argument-array=SERVER
Tôi không thể hiểu tại sao các quy tắc không được áp dụng hoặc tôi đang làm gì sai. Tôi cũng đã tìm kiếm trong nhật ký các quy tắc 101101 hoặc 101102 và không có gì nên tôi cho rằng chúng không thực sự được áp dụng.
CẬP NHẬT: Cũng đã thử với loại quy tắc này:
<group name="exceptions,">
<rule id="101101" level="0" frequency="5" timeframe="60">
<if_matched_sid>5407</if_matched_sid>
<match> nrpe :</match>
<description>Ignore sudo auth for nagios user.</description>
<options>no_log</options>
<group>pci_dss_10.2.5,pci_dss_10.2.2,gpg13_7.6,gpg13_7.8,gpg13_7.13,gdpr_IV_32.2,hipaa_164.312.b,nist_800_53_AU.14,nist_800_53_AC.7,nist_800_53_AC.6,tsc_CC6.8,tsc_CC7.2,tsc_CC7.3,</group>
</rule>
<rule id="101102" level="0" frequency="5" timeframe="60">
<if_matched_sid>5407</if_matched_sid>
<match> nrpe : </match>
<description>Ignore sudo auth for nrpe user.</description>
<options>no_log</options>
<group>pci_dss_10.2.5,pci_dss_10.2.2,gpg13_7.6,gpg13_7.8,gpg13_7.13,gdpr_IV_32.2,hipaa_164.312.b,nist_800_53_AU.14,nist_800_53_AC.7,nist_800_53_AC.6,tsc_CC6.8,tsc_CC7.2,tsc_CC7.3,</group>
</rule>
</group>
Rõ ràng quy tắc 5402 dành cho sudo được thực thi bởi root và 5407 dành cho sudo được thực thi bởi người dùng thông thường. Dù sao, vẫn không hoạt động ...
Quy tắc tương tự phù hợp nếu tôi sử dụng <hostname>hostname</hostname> for nhưng điều đó ngụ ý rằng nó sẽ bỏ qua tất cả sudo từ máy chủ đó và không chỉ cho nagios/nrpe người dùng.
