zeek-spicy-openvpn

zeek-spicy-openvpn これはOpenVPNトラフィックを検出するプロトコルアナライザです。 このパッケージを使用するには、Spicyをインストールする必要があります。 このプロトコルアナライザの開発について詳しく説明しているブログとウェビナー: https://zeek.org/2021/03/16/a-zeek-openvpn-protocol-analyzer/ https://zeek.org/2021/04/08/a-zeek-openvpn-protocol-analyzer-in-spicy/...

zeek-spicy-ipsec

IPSec これは、Spicy に基づいて IPSec VPN を検出する Zeek プロトコルアナライザーです。 このパッケージを使用するには、Spicy をインストールする必要があります。 このアナライザーの開発の詳細を記したブログ: https://zeek.org/2021/04/20/zeeks-ipsec-protocol-analyzer/ RFC: https://tools.ietf.org/html/rfc2406 ESP https://tools.ietf.org/html/rfc4302 AH https://tools.ietf.org/html/rfc240...

zeek-spicy-stun

STUN NAT用セッション横断ユーティリティ（STUN） これは、Spicy ベースで STUN を検出する Zeek プロトコルアナライザです。 このパッケージを使用するには、Spicy をインストールする必要があります。 このパッケージは2つのログを生成します： stun.log - このログにはすべての STUN メッセージが含まれます。 stunnat.log - このログには、マップされたアドレスからの NAT 検出結果が含まれます。 以下の元のロジックに追加のロジックが加えられています： https://github.com/r-franke/spicystun...

zeek-spicy-wireguard

zeek-spicy-wireguard このパッケージは、Zeek 用の Spicy ベースの Wireguard プロトコルアナライザを提供します。 このパッケージを使用するには、Spicy をインストールする必要があります。 これは、https://www.wireguard.com/protocol/ に従った単純明快な実装です。 Wireguard Wireguard ログ separator \x09 setseparator , emptyfield empty unsetfield - path conn open 2021-11-24-18-10-11 fields t...

zeek-strrat-detector

ZeekベースのSTRRATマルウェア検出器 これはZeek SpicyベースのSTRRATマルウェア検出器です。 PCAP https://app.any.run/tasks/4423258f-59bc-4a88-bfec-d8ac08c88538/ 出力例 % zeek -Cr strrat-4423258f-59bc-4a88-bfec-d8ac08c88538.pcap zeek-strrat-detector % cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path...

zeek-spicy-ospf

zeek-spicy-ospf これは、Zeek用のSpicyベースのOSPF v2 & v3パケットアナライザです。 このパッケージを使用するには、Spicy をインストールする必要があります。 リンク: オリジナルのロジックは、作者の許可を得て https://github.com/s-wells/spicyparsers/tree/main/ospf からインポートしたものです。 https://datatracker.ietf.org/doc/html/rfc2328 https://datatracker.ietf.org/doc/html/rfc2740...

zeek-mercury-npf

Mercury NPF for Zeek This Zeek plugin implements the Network Protocol Fingerprinting NPF format as specified in the Mercury project. Overview The plugin inspects the following protocols and generates the NPF for them: TCP TLS and DTLS QUIC HTTP SSH OpenVPN requires installation of...

zeek-spicy-facefish

FacefishRootkit このZeek+Spicyアナライザーは、以下の記事で説明されているFacefish LinuxルートキットC2を検出します： https://blog.netlab.360.com/sshstealerfacefishen/ https://blogs.juniper.net/en-us/threat-research/linux-servers-hijacked-to-implant-ssh-backdoor...