20 matches found
cve-2021-44228
CVE-2021-44228 Log4J（CVE-2021-44228）の試行に対して、通知を発行し、HTTP接続にタグを付け、オプションでログを生成するZeekパッケージ。 HTTPヘッダーに含まれるペイロードを検出します。詳細は Simplifying Detection of Log4Shell を参照してください。 Zeekシグネチャ を使用して、LDAP検索中にJavaファイルが返されたときに通知を生成します。詳細は Detecting Log4j via Zeek & LDAP traffic を参照してください。...
zeek-netsupport-detector
NetSupport 背景 https://unit42.paloaltonetworks.com/cortex-xdr-detects-netsupport-manager-rat-campaign/ テスト用PCAP: https://app.any.run/tasks/b5d9853f-0dca-45ef-9532-83feeedcbf42 例: $ zeek -Cr b5d9853f-0dca-45ef-9532-83feeedcbf42.pcap $ cat notice.log separator \x09 setseparator , emptyfield empty...
CVE-2021-38647
CVE-2021-38647 別名 "OMIGOD" CVE-2021-38647（別名 OMIGOD）のエクスプロイト試行を検出するZeekパッケージ。 https://corelight.com/blog/detecting-cve-2021-38647-omigod https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647 エクスプロイト...
CVE-2022-23270-PPTP
CVE-2022-23270 Microsoft の PPTP 実装における脆弱性 CVE-2022-23270 を検出するパッケージです。 例 testing\traces ディレクトリ内の同梱 PCAP に対して、このロジックを実行できます： $ zeek -Cr CVE-2022-23270-exploited.pcap packages $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path notice open 2022-05-10-23-03-47 fields ts...
CVE-2022-26937
CVE-2022-26937 CVE-2022-26937を検出するパッケージ。MicrosoftのNFS実装における脆弱性です。 例 このロジックは、同梱のPCAPを使って testing\traces ディレクトリ内で実行できます: $ zeek -Cr CVE-2022-26937-exploited.pcap /Source/CVE-2022-26937/scripts/load.zeek $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path notice open...
boa-detector
boa-detector 这个 Zeek 包检测 HTTP 头中的 Boa web server 字符串。所有 Boa 版本均被视为存在漏洞： https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/ 当观察到 /^Boa/./ 服务器字符串时，此包会针对连接的 c$id$resph 发出一个通知 BoaDetector::VulnerableBoaWebServer。...
PetitPotam
PetitPotam NTLM リレー攻撃の検出 Petit Potam エクスプロイトを介して NTLM リレー攻撃を誘発しようとする試みの一部を検出するための Zeek パッケージです。 このパッケージは、成功したと思われるエクスプロイトの試みと失敗したと思われる試みの両方を検出します。EFS DCERPC 関数呼び出しの リターンコードを調べることにより、それらを区別します。 注: このパッケージは、暗号化されていない SMB を介して転送されるエクスプロイトの試みのみを検出します。暗号化された SMB 上の DCERPC 呼び出しは検出されません。このような場合、進行中の NTL...
cve-2022-21907
CVE-2022-21907 このパッケージは、CVE-2022-21907 のエクスプロイトを検出します。 https://corelight.com/blog/detecting-cve-2022-21907 検出方法: HTTP HTTPデータが = 1750 バイトであること、かつ エクスプロイトHTTPリクエストの末尾で HTTP/1.1 が観測されないこと。 使用方法: $ zeek -Cr your.pcap packages $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield...
zeek-gozi-detector
Gozi マルウェア検出器 この Zeek パッケージは、Gozi バンキング型マルウェアの活動を検出します。 リソース: このパッケージが探す RAR ファイルは、以下の記事で取り上げられています: https://unit42.paloaltonetworks.com/march-wireshark-gozi-answers/...
CVE-2021-41773
CVE-2021-41773 Apache HTTP Server 2.4.49 CVE-2021-41773 および 2.4.50 CVE-2021-42013 のパストラバーサル/RCE に関する通知を発行する Zeek パッケージ 参照 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-41773 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-42013...
cve-2020-16898
Bad Neighbor検出のためのZeekパッケージ .. image::...
callstranger-detector
CallStranger（CVE-2020-12695）の悪用試行を検出する Zeek パッケージ http://callstranger.com/ このパッケージは、CallStranger（CVE-2020-12695）の悪用試行とデータ外部送信を検出しようとするものです。これを実現するために、次の3つの重要な点を監視します。 1. Notify URL に RFC1918 または localnets アドレスではない IP アドレスが含まれている UPnP SUBSCRIBE コマンド。これは DDoS 増幅またはデータ外部送信の前兆である可能性があります 2. RFC1918 ま...
Corelight-Ansible-Roles
Corelight-Ansible-Roles 注意: このバージョンを実行する前に、アップグレードする場合、一部の変数名と場所が変更されています。 始めるには、次のコマンドを実行するだけです: source curl https://raw.githubusercontent.com/corelight/Corelight-Ansible-Roles/main/download-run-me-first.sh この製品には、MaxMind が作成した GeoLite2 データが含まれています。https://www.maxmind.com から入手できます。...
ripple20
"Ripple20" Treck IOT/ICS 设备发现与漏洞利用检测 v0.2 Summary: 一个用于被动检测 Treck 设备、发现/扫描尝试以及针对 Treck TCP/IP 协议栈中 "Ripple20" 系列漏洞的利用行为的 Zeek 包。 References: https://corelight.blog/2020/06/30/ripple20-zeek-package-open-sourced/ https://www.jsof-tech.com/ripple20/ 由 JSOF 提供的 python/scapy 扫描包。...
PetitPotam-notest
PetitPotam NTLMリレー攻撃の検出 PetitPotamエクスプロイトを介してNTLMリレー攻撃をトリガーしようとする試みを検出するためのZeekパッケージです。 このパッケージは、成功したと思われるエクスプロイト試行と失敗した試行の両方を検出します。EFS DCERPC関数呼び出しのリターンコードを調べることで、それらを区別します。 注: このパッケージは、暗号化されていないSMB経由で転送されるエクスプロイト試行のみを検出します。DCERPC 暗号化されたSMB経由の呼び出しは検出されません。このような場合、進行中のNTLMリレー攻撃の兆候がないか...
Exploit for CVE-2021-38647
CVE-2021-38647 AKA "OMIGOD" A Zeek package which detects CVE-2...
Exploit for Uncontrolled Resource Consumption in Siemens 6Bk1602-0Aa12-0Tp0_Firmware
CVE-2021-44228 A Zeek package which raises notices, tags HTTP...
Exploit for CVE-2021-38647
cve-2021-38647 https://github.com/corelight/CVE-2021-38647 wit...