etc/rules/proftpd_rules.xml

   1 <!-- @(#) $Id$
   2   -  Official Proftpd rules for OSSEC.
   3   -
   4   -  Copyright (C) 2009 Trend Micro Inc.
   5   -  All rights reserved.
   6   -
   7   -  This program is a free software; you can redistribute it
   8   -  and/or modify it under the terms of the GNU General Public
   9   -  License (version 2) as published by the FSF - Free Software
  10   -  Foundation.
  11   -
  12   -  License details: http://www.ossec.net/en/licensing.html
  13   -->
  14
  15
  16
  17 <group name="syslog,proftpd,">
  18   <rule id="11200" level="0" noalert="1">
  19     <decoded_as>proftpd</decoded_as>
  20     <description>Grouping for the proftpd rules.</description>
  21   </rule>
  22
  23   <rule id="11201" level="3">
  24     <if_sid>11200</if_sid>
  25     <match>FTP session opened.$</match>
  26     <description>FTP session opened.</description>
  27     <group>connection_attempt,</group>
  28   </rule>
  29
  30   <rule id="11202" level="0">
  31     <if_sid>11200</if_sid>
  32     <match>FTP session closed.$</match>
  33     <description>FTP session closed.</description>
  34   </rule>
  35
  36   <rule id="11203" level="5">
  37     <if_sid>11200</if_sid>
  38     <match> no such user </match>
  39     <description>Attempt to login using a non-existent user.</description>
  40     <group>invalid_login,</group>
  41   </rule>
  42
  43   <rule id="11204" level="5">
  44     <if_sid>11200</if_sid>
  45     <match>Incorrect password.$|Login failed</match>
  46     <description>Login failed accessing the FTP server</description>
  47     <group>authentication_failed,</group>
  48   </rule>
  49
  50   <rule id="11205" level="3">
  51     <if_sid>11200</if_sid>
  52     <match>Login successful</match>
  53     <description>FTP Authentication success.</description>
  54     <group>authentication_success,</group>
  55   </rule>
  56
  57   <rule id="11206" level="5">
  58     <if_sid>11200</if_sid>
  59     <regex>Connection from \S+ [\S+] denied</regex>
  60     <description>Connection denied by ProFTPD configuration.</description>
  61     <group>access_denied,</group>
  62   </rule>
  63
  64   <rule id="11207" level="5">
  65     <if_sid>11200</if_sid>
  66     <match>refused connect from</match>
  67     <description>Connection refused by TCP Wrappers.</description>
  68     <group>access_denied,</group>
  69   </rule>
  70
  71   <rule id="11208" level="4">
  72     <if_sid>11200</if_sid>
  73     <match>unable to find open port in PassivePorts range</match>
  74     <description>Small PassivePorts range in config file. </description>
  75     <description>Server misconfiguration.</description>
  76   </rule>
  77
  78   <rule id="11209" level="14">
  79     <if_sid>11200</if_sid>
  80     <match>Refused PORT </match>
  81     <description>Attempt to bypass firewall that can't adequately</description>
  82     <description> keep state of FTP traffic.</description>
  83     <info type="link">http://www.kb.cert.org/vuls/id/328867</info>
  84     <info type="text">US-Cert Note VU#328867: Multiple vendors' firewalls do not adequately keep state of FTP traffic</info>
  85   </rule>
  86
  87   <rule id="11210" level="10">
  88     <if_sid>11200</if_sid>
  89     <match>Maximum login attempts </match>
  90     <description>Multiple failed login attempts.</description>
  91     <group>authentication_failures,</group>
  92   </rule>
  93
  94   <rule id="11211" level="4">
  95     <if_sid>11200</if_sid>
  96     <match>host name/name mismatch|host name/address mismatch</match>
  97     <description>Mismatch in server's hostname.</description>
  98   </rule>
  99
 100   <rule id="11212" level="5">
 101     <if_sid>11200</if_sid>
 102     <match>warning: can't verify hostname: </match>
 103     <description>Reverse lookup error (bad ISP config).</description>
 104   </rule>
 105
 106   <rule id="11213" level="3">
 107     <if_sid>11200</if_sid>
 108     <match>connect from </match>
 109     <description>Remote host connected to FTP server.</description>
 110     <group>connection_attempt,</group>
 111   </rule>
 112
 113   <rule id="11214" level="3">
 114     <if_sid>11200</if_sid>
 115     <match>FTP no transfer timeout, disconnected</match>
 116     <description>Remote host disconnected due to inactivity.</description>
 117   </rule>
 118
 119   <rule id="11215" level="3">
 120     <if_sid>11200</if_sid>
 121     <match>FTP login timed out, disconnected</match>
 122     <description>Remote host disconnected due to login time out.</description>
 123   </rule>
 124
 125   <rule id="11216" level="3">
 126     <if_sid>11200</if_sid>
 127     <match>FTP session idle timeout, disconnected</match>
 128     <description>Remote host disconnected due to time out.</description>
 129   </rule>
 130
 131   <rule id="11217" level="3">
 132     <if_sid>11200</if_sid>
 133     <match>Data transfer stall timeout:</match>
 134     <description>Data transfer stalled.</description>
 135   </rule>
 136
 137   <rule id="11218" level="12">
 138     <if_sid>11200</if_sid>
 139     <match>ProFTPD terminating (signal 11)</match>
 140     <description>FTP process crashed.</description>
 141     <group>service_availability,</group>
 142   </rule>
 143
 144   <rule id="11219" level="12">
 145     <if_sid>11200</if_sid>
 146     <match>Reallocating sreaddir buffer</match>
 147     <description>FTP server Buffer overflow attempt.</description>
 148   </rule>
 149
 150   <rule id="11220" level="4">
 151     <if_sid>11200</if_sid>
 152     <match>listen() failed in</match>
 153     <description>Unable to bind to adress.</description>
 154   </rule>
 155
 156   <rule id="11221" level="0">
 157     <if_sid>11200</if_sid>
 158     <match>error setting IPV6_V6ONLY: Protocol not available|</match>
 159     <match> - mod_delay/|PAM(setcred): System error|</match>
 160     <match>PAM(close_session): System error</match>
 161     <description>IPv6 error and mod-delay info (ignored).</description>
 162   </rule>
 163
 164   <rule id="11251" level="10" frequency="6" timeframe="120">
 165     <if_matched_sid>11204</if_matched_sid>
 166     <same_source_ip />
 167     <description>FTP brute force (multiple failed logins).</description>
 168     <group>authentication_failures,</group>
 169   </rule>
 170
 171   <rule id="11252" level="10" frequency="10" timeframe="60">
 172     <if_matched_sid>11201</if_matched_sid>
 173     <same_source_ip />
 174     <description>Multiple connection attempts from same source.</description>
 175     <group>recon,</group>
 176   </rule>
 177
 178   <rule id="11253" level="10" frequency="10" timeframe="120">
 179     <if_matched_sid>11215</if_matched_sid>
 180     <same_source_ip />
 181     <description>Multiple timed out logins from same source.</description>
 182   </rule>
 183
 184 </group> <!-- SYSLOG,PROFTPD -->
 185
 186
 187 <!-- EOF -->