Delinea PAM — User Guide

Overview

Pack cung cấp giám sát bảo mật cho Delinea Secret Server (PAM — Privileged Access Management), phát hiện lỗi kết nối đến managed hosts và dấu hiệu gián đoạn dịch vụ PAM, bao gồm:

• Transformation — chuẩn hóa Delinea CEF syslog (connection failures, heartbeat errors, LDAP/AD errors) sang ECS
• 6 streaming rules — phát hiện lỗi kết nối SSH, RDP proxy, RPC/SMB heartbeat, LDAP/AD, và managed host connectivity failure
• 2 correlation rules — phát hiện heartbeat failure burst đến một target và multi-target connectivity failure diện rộng
• 1 dashboard — tổng quan lỗi PAM, phân loại theo action, host đích, và trend theo thời gian

Yêu cầu trước khi cài đặt

Định dạng log bắt buộc

{
  "timestamp": "2026-06-23T08:30:00.000Z",
  "host": "pam-server-01",
  "message": "<CEF syslog line>"
}

Transformation nhận diện CEF header dạng CEF:0|<vendor>|<product>|<version>|<eventId>|<eventName>|<severity>|<extensions>. Field timestamp trong JSON envelope và trong CEF header (rt=) đều được xử lý.

Ví dụ log hợp lệ

SSH Connection Failure:

{"timestamp":"2026-06-23T08:30:00.000Z","host":"pam-server-01","message":"2026-06-23T08:30:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|1001|SSH Connection Failure|3|msg=SSH connection failed to target host rt=1719131400000 dst=10.1.2.3 duser=svc-account"}

LDAP Connectivity Error:

{"timestamp":"2026-06-23T08:31:00.000Z","host":"pam-server-01","message":"2026-06-23T08:31:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|2001|LDAP Connection Error|7|msg=Unable to connect to Active Directory server dc01.corp.local rt=1719131460000 dst=10.0.0.10"}

RPC Heartbeat Failure:

{"timestamp":"2026-06-23T08:32:00.000Z","host":"pam-server-01","message":"2026-06-23T08:32:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|3001|RPC Heartbeat Failure|3|msg=RPC heartbeat failed for managed host rt=1719131520000 dst=10.1.5.20 duser=administrator"}

RDP Proxy Error:

{"timestamp":"2026-06-23T08:33:00.000Z","host":"pam-server-01","message":"2026-06-23T08:33:00.000Z pam-server-01 CEF:0|Delinea|Secret Server|11.3|4001|RDP Proxy Error|5|msg=RDP proxy internal error connecting to session host rt=1719131580000 dst=10.1.3.15 duser=john.admin"}

CEF severity mapping: 0–3 → low, 4–6 → medium, 7–8 → high, 9–10 → critical.

Cài đặt

1. Vào Marketplace → tìm "Delinea PAM" → Install
2. Kiểm tra Transformations → delinea-pam-parser đang active
3. Kiểm tra Detection Rules → filter tag Delinea → 8 rules đang enabled
4. Mở Dashboards → Delinea PAM Security Overview

Transformation — Các trường ECS chính

Detection Rules

Streaming Rules (6 rules — real-time)

Correlation Rules (2 rules — pattern)

Dashboard — Delinea PAM Security Overview

SOC Triage nhanh:

1. Metric 3 (LDAP/AD Errors) > 0 → ưu tiên xử lý ngay — AD down ảnh hưởng toàn hệ thống PAM
2. Chart 6 → một host bị lỗi nhiều → host đó có vấn đề hoặc đang bị tấn công
3. Metric 4 burst cao → correlation rule Heartbeat Failure Burst có thể đã kích hoạt
4. Chart 5 → SSH/RDP errors cao → kiểm tra network path từ PAM server đến managed zone

Troubleshooting

Checklist transformation:

• JSON envelope có đủ: timestamp, host, message
• message chứa CEF header CEF:0|Delinea|Secret Server|...
• Delinea Secret Server đã bật syslog forwarding
• Syslog receiver parse CEF và wrap vào JSON trước khi gửi platform
• delinea-pam-parser.yaml đang active trong Transformations

Hỗ trợ

• Lỗi platform: Mở ticket tại SecOps support portal
• Góp ý pack: Dùng tính năng feedback trên trang Marketplace
• Tuning rule: Slack #detection-engineering

Last updated: 2026-06-23 · Vendor: Delinea · Author: secops-team