etc/rules/proftpd_rules.xml

   1 <!-- @(#) $Id: ./etc/rules/proftpd_rules.xml, 2011/09/08 dcid Exp $
   2
   3   -  Official Proftpd rules for OSSEC.
   4   -
   5   -  Copyright (C) 2009 Trend Micro Inc.
   6   -  All rights reserved.
   7   -
   8   -  This program is a free software; you can redistribute it
   9   -  and/or modify it under the terms of the GNU General Public
  10   -  License (version 2) as published by the FSF - Free Software
  11   -  Foundation.
  12   -
  13   -  License details: http://www.ossec.net/en/licensing.html
  14   -->
  15
  16
  17
  18 <group name="syslog,proftpd,">
  19   <rule id="11200" level="0" noalert="1">
  20     <decoded_as>proftpd</decoded_as>
  21     <description>Grouping for the proftpd rules.</description>
  22   </rule>
  23
  24   <rule id="11201" level="3">
  25     <if_sid>11200</if_sid>
  26     <match>FTP session opened.$</match>
  27     <description>FTP session opened.</description>
  28     <group>connection_attempt,</group>
  29   </rule>
  30
  31   <rule id="11202" level="0">
  32     <if_sid>11200</if_sid>
  33     <match>FTP session closed.$</match>
  34     <description>FTP session closed.</description>
  35   </rule>
  36
  37   <rule id="11203" level="5">
  38     <if_sid>11200</if_sid>
  39     <match> no such user </match>
  40     <description>Attempt to login using a non-existent user.</description>
  41     <group>invalid_login,</group>
  42   </rule>
  43
  44   <rule id="11204" level="5">
  45     <if_sid>11200</if_sid>
  46     <match>Incorrect password.$|Login failed</match>
  47     <description>Login failed accessing the FTP server</description>
  48     <group>authentication_failed,</group>
  49   </rule>
  50
  51   <rule id="11205" level="3">
  52     <if_sid>11200</if_sid>
  53     <match>Login successful</match>
  54     <description>FTP Authentication success.</description>
  55     <group>authentication_success,</group>
  56   </rule>
  57
  58   <rule id="11206" level="5">
  59     <if_sid>11200</if_sid>
  60     <regex>Connection from \S+ [\S+] denied</regex>
  61     <description>Connection denied by ProFTPD configuration.</description>
  62     <group>access_denied,</group>
  63   </rule>
  64
  65   <rule id="11207" level="5">
  66     <if_sid>11200</if_sid>
  67     <match>refused connect from</match>
  68     <description>Connection refused by TCP Wrappers.</description>
  69     <group>access_denied,</group>
  70   </rule>
  71
  72   <rule id="11208" level="4">
  73     <if_sid>11200</if_sid>
  74     <match>unable to find open port in PassivePorts range</match>
  75     <description>Small PassivePorts range in config file. </description>
  76     <description>Server misconfiguration.</description>
  77   </rule>
  78
  79   <rule id="11209" level="14">
  80     <if_sid>11200</if_sid>
  81     <match>Refused PORT </match>
  82     <description>Attempt to bypass firewall that can't adequately</description>
  83     <description> keep state of FTP traffic.</description>
  84     <info type="link">http://www.kb.cert.org/vuls/id/328867</info>
  85     <info type="text">US-Cert Note VU#328867: Multiple vendors' firewalls do not adequately keep state of FTP traffic</info>
  86   </rule>
  87
  88   <rule id="11210" level="10">
  89     <if_sid>11200</if_sid>
  90     <match>Maximum login attempts </match>
  91     <description>Multiple failed login attempts.</description>
  92     <group>authentication_failures,</group>
  93   </rule>
  94
  95   <rule id="11211" level="4">
  96     <if_sid>11200</if_sid>
  97     <match>host name/name mismatch|host name/address mismatch</match>
  98     <description>Mismatch in server's hostname.</description>
  99   </rule>
 100
 101   <rule id="11212" level="5">
 102     <if_sid>11200</if_sid>
 103     <match>warning: can't verify hostname: </match>
 104     <description>Reverse lookup error (bad ISP config).</description>
 105   </rule>
 106
 107   <rule id="11213" level="3">
 108     <if_sid>11200</if_sid>
 109     <match>connect from </match>
 110     <description>Remote host connected to FTP server.</description>
 111     <group>connection_attempt,</group>
 112   </rule>
 113
 114   <rule id="11214" level="3">
 115     <if_sid>11200</if_sid>
 116     <match>FTP no transfer timeout, disconnected</match>
 117     <description>Remote host disconnected due to inactivity.</description>
 118   </rule>
 119
 120   <rule id="11215" level="3">
 121     <if_sid>11200</if_sid>
 122     <match>FTP login timed out, disconnected</match>
 123     <description>Remote host disconnected due to login time out.</description>
 124   </rule>
 125
 126   <rule id="11216" level="3">
 127     <if_sid>11200</if_sid>
 128     <match>FTP session idle timeout, disconnected</match>
 129     <description>Remote host disconnected due to time out.</description>
 130   </rule>
 131
 132   <rule id="11217" level="3">
 133     <if_sid>11200</if_sid>
 134     <match>Data transfer stall timeout:</match>
 135     <description>Data transfer stalled.</description>
 136   </rule>
 137
 138   <rule id="11218" level="12">
 139     <if_sid>11200</if_sid>
 140     <match>ProFTPD terminating (signal 11)</match>
 141     <description>FTP process crashed.</description>
 142     <group>service_availability,</group>
 143   </rule>
 144
 145   <rule id="11219" level="12">
 146     <if_sid>11200</if_sid>
 147     <match>Reallocating sreaddir buffer</match>
 148     <description>FTP server Buffer overflow attempt.</description>
 149   </rule>
 150
 151   <rule id="11220" level="4">
 152     <if_sid>11200</if_sid>
 153     <match>listen() failed in</match>
 154     <description>Unable to bind to adress.</description>
 155   </rule>
 156
 157   <rule id="11221" level="0">
 158     <if_sid>11200</if_sid>
 159     <match>error setting IPV6_V6ONLY: Protocol not available|</match>
 160     <match> - mod_delay/|PAM(setcred): System error|</match>
 161     <match>PAM(close_session): System error|cap_set_proc failed|reverting to normal operation|error retrieving information about user</match>
 162     <description>IPv6 error and mod-delay info (ignored).</description>
 163   </rule>
 164
 165   <rule id="11251" level="10" frequency="6" timeframe="120">
 166     <if_matched_sid>11204</if_matched_sid>
 167     <same_source_ip />
 168     <description>FTP brute force (multiple failed logins).</description>
 169     <group>authentication_failures,</group>
 170   </rule>
 171
 172   <rule id="11252" level="10" frequency="10" timeframe="60">
 173     <if_matched_sid>11201</if_matched_sid>
 174     <same_source_ip />
 175     <description>Multiple connection attempts from same source.</description>
 176     <group>recon,</group>
 177   </rule>
 178
 179   <rule id="11253" level="10" frequency="10" timeframe="120">
 180     <if_matched_sid>11215</if_matched_sid>
 181     <same_source_ip />
 182     <description>Multiple timed out logins from same source.</description>
 183   </rule>
 184
 185 </group> <!-- SYSLOG,PROFTPD -->
 186
 187
 188 <!-- EOF -->