Безопасность при удаленной работе с данными

Системы Linux настраиваемое обнаружение угроз на основе поведения пользователя
Я думаю об автоматическом анализе собранных логов системы linux, создавая ваше продуманное подозрительное поведение, которое может помочь обнаружить и сообщить о потенциальных угрозах безопасности.

Система Linux имеет свой способ ведения журналов всего, что происходит в системе. Поэтому я пришел к идее определить конкретное поведение пользователя, которое, по моему мнению, может быть подозрительным или представлять угрозу для системы, и написать сценарии, которые будут запущены, чтобы сообщить об этих вещах. Давайте возьмем пример пользователь пробовал так много попыток войти в систему может быть в разные дни и позже я вижу, что пользователь успешен, но после попытки войти в систему по-разному в течение очень короткого времени.

Другой пример поведения: пользователь предпринял несколько попыток входа в систему до тех пор, пока они не увенчались успехом, после успешного входа пользователь устанавливает некоторые пакеты или загружает определенные файлы в систему, а затем система linux инициирует сетевую связь с одним и тем же исходным IP-адресом нескольких попыток входа. Поэтому я включаю скрипт, который может читать журналы и проверять такое поведение. Если он обнаруживает такое поведение то может быть записывает его в определенный файл отчета или базу данных

Таким образом , основная идея заключается в написании сценариев оболочки, которые будут периодически запускаться для чтения различных файлов журнала, выполнения анализа и предоставления отчета о внесенной в журнал информации. Здесь я даже могу решить не писать скрипты, а просто читать лог-файлы, отправлять их в веб-приложение для выполнения анализа и хранить отчет в базе данных для отчетности, и это становится непрерывным периодическим процессом

Поэтому в основном я думаю о подозрительном поведении пользователей и пишу код, который сможет анализировать и обнаруживать это поведение, где я могу определить несколько видов поведения. например, я мог бы сказать, что если пользователь обращается к командной оболочке из всемирно известных черных списков IP-адресов , это высокая вероятность атаки