Catalog
Delinea PAM — User Guide
Delinea PAM — User Guide
| Pack name | Delinea PAM |
| Version | 1.0.0 |
| Vendor | Delinea |
| Capabilities | Parser · Streaming Rules · Correlation Rules · Dashboard |
| Categories | PAM · Privileged Access · Authentication · Identity |
Overview
Pack cung cấp giám sát bảo mật cho Delinea Secret Server (PAM — Privileged Access Management), phát hiện lỗi kết nối đến managed hosts và dấu hiệu gián đoạn dịch vụ PAM, bao gồm:
- Parser — chuẩn hóa Delinea CEF syslog (connection failures, heartbeat errors, LDAP/AD errors) sang ECS
- 6 streaming rules — phát hiện lỗi kết nối SSH, RDP proxy, RPC/SMB heartbeat, LDAP/AD, và managed host connectivity failure
- 2 correlation rules — phát hiện heartbeat failure burst đến một target và multi-target connectivity failure diện rộng
- 1 dashboard — tổng quan lỗi PAM, phân loại theo action, host đích, và trend theo thời gian
Yêu cầu trước khi cài đặt
| Yêu cầu | Chi tiết |
|---|---|
| Delinea Secret Server | Version 11.x trở lên |
| Log format | CEF (Common Event Format) qua syslog UDP/TCP |
| Log shipper | Syslog receiver chuyển CEF sang JSON envelope, gửi về platform |
| Timestamp | ISO 8601 (2026-06-23T08:30:00.000Z) trong field timestamp của JSON envelope |
Định dạng log bắt buộc
{
"timestamp": "2026-06-23T08:30:00.000Z",
"host": "pam-server-01",
"message": "<CEF syslog line>"
}
Parser nhận diện CEF header dạng
CEF:0|<vendor>|<product>|<version>|<eventId>|<eventName>|<severity>|<extensions>. Fieldtimestamptrong JSON envelope và trong CEF header (rt=) đều được xử lý.
Ví dụ log hợp lệ
SSH Connection Failure:
{"timestamp":"2026-06-23T08:30:00.000Z","host":"pam-server-01","message":"2026-06-23T08:30:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|1001|SSH Connection Failure|3|msg=SSH connection failed to target host rt=1719131400000 dst=10.1.2.3 duser=svc-account"}
LDAP Connectivity Error:
{"timestamp":"2026-06-23T08:31:00.000Z","host":"pam-server-01","message":"2026-06-23T08:31:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|2001|LDAP Connection Error|7|msg=Unable to connect to Active Directory server dc01.corp.local rt=1719131460000 dst=10.0.0.10"}
RPC Heartbeat Failure:
{"timestamp":"2026-06-23T08:32:00.000Z","host":"pam-server-01","message":"2026-06-23T08:32:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|3001|RPC Heartbeat Failure|3|msg=RPC heartbeat failed for managed host rt=1719131520000 dst=10.1.5.20 duser=administrator"}
RDP Proxy Error:
{"timestamp":"2026-06-23T08:33:00.000Z","host":"pam-server-01","message":"2026-06-23T08:33:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|4001|RDP Proxy Error|5|msg=RDP proxy internal error connecting to session host rt=1719131580000 dst=10.1.3.15 duser=john.admin"}
CEF severity mapping: 0–3 →
low, 4–6 →medium, 7–8 →high, 9–10 →critical.
Cài đặt
- Vào Marketplace → tìm "Delinea PAM" → Install
- Kiểm tra Parsers →
delinea-pam-parserđang active - Kiểm tra Detection Rules → filter tag Delinea → 8 rules đang enabled
- Mở Dashboards → Delinea PAM Security Overview
Parser — Các trường ECS chính
| ECS Field | Nguồn | Mô tả |
|---|---|---|
event.action | CEF eventName | Tên loại sự kiện (ví dụ: SSH Connection Failure) |
event.outcome | Derived | failure (mặc định cho PAM error events) |
event.type | Derived | error |
event.code | CEF eventId | Mã sự kiện CEF |
event.severity | CEF severity (numeric) | Mức độ nghiêm trọng theo CEF (0–10) |
observer.hostname | CEF syslog header | Hostname của PAM server |
observer.vendor | CEF vendor field | Delinea |
observer.product | CEF product field | Secret Server |
user.name | CEF duser= | Username thực hiện thao tác hoặc tài khoản bị quản lý |
destination.ip | CEF dst= | IP của managed host đích |
error.message | CEF msg= | Mô tả chi tiết lỗi |
Detection Rules
Streaming Rules (6 rules — real-time)
| # | Rule | Severity | Mô tả |
|---|---|---|---|
| 1 | Delinea PAM — Managed Host Connectivity Failure | Low | Kết nối đến managed host thất bại — nghi ngờ host down hoặc network issue |
| 2 | Delinea PAM — LDAP / Active Directory Connectivity Error | High | Không kết nối được AD/LDAP — gây gián đoạn xác thực PAM toàn hệ thống |
| 3 | Delinea PAM — RDP Proxy Internal Error | Medium | Lỗi RDP proxy — ảnh hưởng khả năng remote access của admin |
| 4 | Delinea PAM — RPC Heartbeat Failure | Low | RPC heartbeat thất bại — dấu hiệu managed host không phản hồi |
| 5 | Delinea PAM — SMB Heartbeat Failure | Low | SMB heartbeat thất bại — managed host Windows có thể không accessible |
| 6 | Delinea PAM — SSH Connection Failure | Medium | SSH connection thất bại — không thể quản lý SSH-based target host |
Correlation Rules (2 rules — pattern)
| # | Rule | Severity | Mô tả | Ngưỡng | Lookback |
|---|---|---|---|---|---|
| 7 | Delinea PAM — Heartbeat Failure Burst to Single Target | High | Burst ≥ 10 heartbeat failure đến cùng một target — target host có thể bị tấn công hoặc sập | ≥ 10 events | 15 phút |
| 8 | Delinea PAM — Network-Wide Connectivity Failure | High | Lỗi kết nối đến ≥ 5 managed host khác nhau — nghi ngờ network disruption diện rộng hoặc PAM service issue | ≥ 5 distinct hosts | 15 phút |
Dashboard — Delinea PAM Security Overview
| # | Chart | Loại | Mô tả |
|---|---|---|---|
| 1 | PAM Error Events Over Time | LINE | Trend lỗi PAM theo thời gian, phân loại theo loại event |
| 2 | Total PAM Errors | METRIC | Tổng số PAM error events |
| 3 | LDAP/AD Errors | METRIC | Tổng lỗi LDAP/Active Directory |
| 4 | Heartbeat Failures | METRIC | Tổng heartbeat failure events |
| 5 | Error Type Distribution | PIE | Phân bố loại lỗi (SSH, RDP, RPC, SMB, LDAP) |
| 6 | Top Affected Managed Hosts | BAR | Managed host bị lỗi kết nối nhiều nhất |
| 7 | Errors by PAM Server | BAR | Phân bố lỗi theo PAM server (observer.hostname) |
| 8 | Recent Critical PAM Errors | TABLE | 50 PAM error gần nhất, ưu tiên LDAP và heartbeat burst |
SOC Triage nhanh:
- Metric 3 (LDAP/AD Errors) > 0 → ưu tiên xử lý ngay — AD down ảnh hưởng toàn hệ thống PAM
- Chart 6 → một host bị lỗi nhiều → host đó có vấn đề hoặc đang bị tấn công
- Metric 4 burst cao → correlation rule
Heartbeat Failure Burstcó thể đã kích hoạt - Chart 5 → SSH/RDP errors cao → kiểm tra network path từ PAM server đến managed zone
Troubleshooting
| Triệu chứng | Nguyên nhân | Cách xử lý |
|---|---|---|
| Không có event | JSON envelope thiếu timestamp, host, hoặc message | Kiểm tra log shipper gửi đúng format |
| Parser không nhận diện | Message không phải CEF format | Message phải bắt đầu bằng CEF:0| sau phần header syslog |
destination.ip trống | CEF extensions không có dst= field | Kiểm tra cấu hình syslog export trong Delinea Secret Server |
user.name trống | CEF extensions không có duser= | Một số event types không log duser= — đây là behavior bình thường |
| Events nhưng không có alert | Rule filter không khớp event.action | Kiểm tra tên event trong CEF khớp với detection field trong rule |
Checklist parser:
- JSON envelope có đủ:
timestamp,host,message -
messagechứa CEF headerCEF:0|Delinea|Secret Server|... - Delinea Secret Server đã bật syslog forwarding
- Syslog receiver parse CEF và wrap vào JSON trước khi gửi platform
-
delinea-pam-parser.yamlđang active trong Parsers
Hỗ trợ
- Lỗi platform: Mở ticket tại SecOps support portal
- Góp ý pack: Dùng tính năng feedback trên trang Marketplace
- Tuning rule: Slack
#detection-engineering
Last updated: 2026-06-23 · Vendor: Delinea · Author: secops-team