主机入侵检测策略之基线检测

前言

由于篇幅限制，本篇文章主要介绍基本的检测，例如特权账户检测、暴力破解和弱口令检测等。文末以Wazuh为例，介绍如何自定义基线检测。

基本检测

特权账户检测
检测规则：通过之前的信息搜集模块搜集到的用户信息，判断是否存在uid=0且用户名不为root的特权账户。

代码实现:

检查是否存在UID=0的用户（超级用户）,系统默认root的UID为0

SSuperuser=`more /etc/passwd | egrep -v '^root|^#|^(\+:\*)?:0:0:::'| awk -F: '{if($3==0) print $1}'`
if[ -n "$Superuser"];then
echo"${Tip} 除root外发现超级用户:$RES"| tee -a $danger_file| $saveresult
foruser in$Superuser
do
echo$user
done
fi

异常账户检测

检测规则：

通过历史登录情况自动总结归纳常用登录账户和地点（或者提供添加白名单功能）
监控/var/log/secure或者/var/log/auth.logSSH的登陆情况，若存在成功事件并且用户不在白名单上，则告警。 脚本实现：

logdir="/var/log"
logdirfile=(/var/log/secure*)
newusers=$(less $logdirfile| grep "new user"| awk -F '[=,]''{print $1,$2}'| awk '{print $1,$2,$3,$9}')
newgoup=$(less $logdirfile| grep "new group"| awk -F '[=,]''{print $1,$2}'| awk '{print $1,$2,$3,$9}')
if[ -e "$logdir"]   && [ -s "$logdirfile"]  ;then
if[ -n "$newusers"];then
echo"[!!!]日志中发现新增用户:"&& echo"$newusers"
echo"[*]新增用户账号及次数如下:"&& more /var/log/secure* | grep "new user"| awk '{print $8}'| awk -F '[=,]''{print $2}'| sort | uniq -c) 
echo"[*]日志中未发现新增加用户"| $saveresult
fi
if[ -n "$newgoup"];then
echo"[!!!]日志中发现新增用户组:"&& echo"$newgoup"
echo"[*]新增用户组及次数如下:"&& more /var/log/secure* | grep "new group"| awk '{print $8}'| awk -F '[=,]''{print $2}'| sort | uniq -c)
echo"[*]日志中未发现新增加用户组"
fi
else
echo-e " ${Tip}日志文件不存在,请分析是否被清除${RES}！"
fi
fi

【一>所有资源获取<一】
1、200份很多已经买不到的绝版电子书
2、30G安全大厂内部的视频资料
3、100份src文档
4、常见安全面试题
5、ctf大赛经典题目解析
6、全套工具包
7、应急响应笔记
8、网络安全学习路线