Malcolm

Malcolm Malcolm is a powerful network traffic analysis tool suite designed with the following goals in mind: Easy to use – Malcolm accepts network traffic data in the form of full packet capture PCAP files, Zeek logs, and Suricata alerts. These artifacts can be uploaded via a simple browser-based...

zeek

The Zeek Network Security Monitor...

zeek-mercury-npf

Mercury NPF for Zeek This Zeek plugin implements the Network Protocol Fingerprinting NPF format as specified in the Mercury project. Overview The plugin inspects the following protocols and generates the NPF for them: TCP TLS and DTLS QUIC HTTP SSH OpenVPN requires installation of...

threat-hunting-guide

Corelight Threat Hunting Guide（作業用コピー） このリポジトリは、Corelight 脅威ハンティングガイドの作業データとして機能します。ここで管理されている本文は、定期的に編集、レイアウト、グラフィックデザインを経て、PDFファイルとして公開され、Corelight, Inc.（「Corelight」）によって配布されます。これらの作業には明確なスケジュールはありませんが、これまでのところ、新しいリリースは6〜12か月ごとに行われています。 最新版の Corelight 脅威ハンティングガイドをご希望の場合は、こちら から入手できます。...

rita

RITA Real Intelligence Threat Analytics If you get value out of RITA and would like to go a step further with hunting automation, futuristic visualizations, and data enrichment, then take a look at AC-Hunter. Brought to you by Active Countermeasures. Sponsored by BHIS. RITA is an open source...

rita

RITA Real Intelligence Threat Analytics RITA에서 더 나아가 헌팅 자동화, 미래지향적 시각화, 데이터 강화를 원하신다면 AC-Hunter를 확인해보세요. Active Countermeasures 제공. BHIS 후원. RITA는 네트워크 트래픽 분석을 위한 오픈 소스 프레임워크입니다. 이 프레임워크는 TSV 또는 JSON 형식의 Zeek 로그를 수집하며, 현재 다음과 같은 주요 기능을 지원합니다: 비콘 탐지 : 네트워크 내외부에서 비콘 동작의 징후를 검색 장기 연결 탐지 : 오랜 시간 동안 통...

zeek

Zeek 네트워크 보안 모니터 네트워크 트래픽 분석 및 보안 모니터링을 위한 강력한 프레임워크입니다. 주요 기능 — 문서 — 시작하기 — 개발 — 라이선스 주요 기능 심층 분석 Zeek는 다양한 프로토콜에 대한 분석기를 제공하여 애플리케이션 계층에서 고수준의 의미 분석을 가능하게 합니다. 적응 가능하고 유연함 Zeek의 도메인 특화 스크립팅 언어는 사이트별 모니터링 정책을 가능하게 하며, 특정 탐지 접근 방식에 제한되지 않습니다. 효율적 Zeek는 고성능 네트워크를 대상으로 하며 다양한 대규모 사이트에서 운영적으로 사용됩니다...

Malcolm

Malcolm Malcolm は、以下の目標を念頭に設計された強力なネットワークトラフィック解析ツールスイートです。 使いやすさ – Malcolm は、フルパケットキャプチャ（PCAP）ファイル、Zeek ログ、Suricata アラートの形式でネットワークトラフィックデータを受け入れます。これらのアーティファクトは、シンプルなブラウザベースのインターフェースからアップロードするか、ライブでパッシブにキャプチャして軽量フォワーダーを使用して Malcolm に転送できます。いずれの場合も、データは解析用に自動的に正規化、エンリッチメント、相関付けされます。 強力なトラフィック解析 –...

zeek-community-id

Zeek 向け "Community ID" フローハッシュ この Zeek パッケージは、Community ID フローハッシュのサポートを提供します。これは、ネットワークモニターでトラフィックフローにラベルを付ける標準化された方法です。このパッケージを読み込むと、conn.log に communityid 文字列フィールドが追加されます。 メモ Zeek 6 以降のバージョンには Community ID のサポートが含まれています。 これらの Zeek バージョンを使用する場合、このパッケージは必要ありません。 詳細については、ドキュメント を参照してください。...

zeek-cheatsheets

Zeek チートシート これらは、Corelightがラミネート加工した 光沢シートとして配布しているZeekチートシートです。 私たちは、これらのシートに、改変と 複製物の配布を許可するライセンスを付与しています。唯一の制限は、 商用利用ができないことと、配布する複製物にはCorelightへの 帰属表示を記載しなければならないことです。...

cve-2021-44228

CVE-2021-44228 Log4J（CVE-2021-44228）の試行に対して、通知を発行し、HTTP接続にタグを付け、オプションでログを生成するZeekパッケージ。 HTTPヘッダーに含まれるペイロードを検出します。詳細は Simplifying Detection of Log4Shell を参照してください。 Zeekシグネチャ を使用して、LDAP検索中にJavaファイルが返されたときに通知を生成します。詳細は Detecting Log4j via Zeek & LDAP traffic を参照してください。...

PetitPotam

PetitPotam NTLM リレー攻撃の検出 Petit Potam エクスプロイトを介して NTLM リレー攻撃を誘発しようとする試みの一部を検出するための Zeek パッケージです。 このパッケージは、成功したと思われるエクスプロイトの試みと失敗したと思われる試みの両方を検出します。EFS DCERPC 関数呼び出しの リターンコードを調べることにより、それらを区別します。 注: このパッケージは、暗号化されていない SMB を介して転送されるエクスプロイトの試みのみを検出します。暗号化された SMB 上の DCERPC 呼び出しは検出されません。このような場合、進行中の NTL...

CVE-2022-23270-PPTP

CVE-2022-23270 Microsoft の PPTP 実装における脆弱性 CVE-2022-23270 を検出するパッケージです。 例 testing\traces ディレクトリ内の同梱 PCAP に対して、このロジックを実行できます： root@kitploit: $ zeek -Cr CVE-2022-23270-exploited.pcap packages $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path notice open...

community-id-spec

コミュニティIDフローハッシング ZeekやSuricataなどのさまざまな監視アプリケーションからのフローデータを処理する際、あるデータセットから別のデータセットへすばやくピボットできることが望ましい場合がよくあります。必要なフロータプル情報は通常データセットに含まれていますが、そのような「結合」の詳細は、特にコーナーケースでは厄介なことがあります。この仕様は「コミュニティID」フローハッシングを説明するもので、特定のネットワークフローを表す文字列識別子の生成を標準化し、ピボットを単純な文字列比較にまで簡素化します。 疑似コード root@kitploit: function...

zeek-long-connections

Long Connections Zeek は通常、接続の終了時に接続をログに記録しますが、これにより、長時間続く接続が防御側に知られないまま終了してしまう場合に、インシデントレスポンダーにとって問題が生じることがあります。 このパッケージは、長時間の接続に対する「中間」conn ログを記録する connlong という新しいログを提供します。これは、ユーザーが「完了した」接続のみを含むと想定できる通常の Zeek conn ログの意味論を混乱させないように、別のログストリームに記録されます。 このスクリプトは、長時間の接続を検出したときに LongConnection::found...

CVE-2020-16898-Bad-Neighbor

CVE-2020-16898: Bad Neighbor を検出するシンプルなポリシー スクリプトによって提供される機能は以下のとおりです :: 1 Script checks on heuristic described here: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/ インストール root@kitploit: zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor or @load...

CVE-2021-41773

CVE-2021-41773 Apache HTTP Server 2.4.49 CVE-2021-41773 および 2.4.50 CVE-2021-42013 のパストラバーサル/RCE に関する通知を発行する Zeek パッケージ 参照 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-41773 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-42013...

Zeek-CVE-Enrichment

zeek-cve-enrichment このパッケージは、suricatacorelight ログと notice Corelight ログを、既知の CVE 情報でエンリッチします。CVE 情報を収集するために、まず Python スクリプト reformat.py を使用して、IP アドレス、ホスト名、CVE（Common Vulnerabilities and Exposures）識別子を含む CSV ファイルを読み取り、一意の IP とホスト名の組み合わせごとにエントリを統合し、各組み合わせに関連するすべての CVE をリストした再フォーマット版を出力します。 以下のような...

cve-2022-21907

CVE-2022-21907 Este paquete detecta exploits de CVE-2022-21907 https://corelight.com/blog/detecting-cve-2022-21907 Método de detección: HTTP Los datos HTTP deben ser = 1750 bytes, y No se observa HTTP/1.1 al final de la solicitud HTTP del exploit. Uso: root@kitploit: $ zeek -Cr your.pcap packages...

Zeek-Endpoint-Enrichment

Zeek-Endpoint-Enrichment Zeek ログをホスト情報でエンリッチします。 id フィールドを持つすべてのログをエンリッチするには、タグ ".-all" を使用します。 id フィールドを持つすべてのログと既知エンティティをエンリッチするには、タグ ".-known-all" を使用します。 conn.log のみをエンリッチするには、タグ ".-conn" を使用します。 conn.log と既知エンティティのみをエンリッチするには、タグ ".-known-conn" を使用します。 詳細なドキュメントについては、https://docs.corelight.co...