boa-detector

boa-detector Este paquete de Zeek detecta la cadena del servidor web Boa en las cabeceras HTTP. Todas las versiones de Boa se consideran vulnerables: https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/ Cuando se...

zeek-spicy-wireguard

zeek-spicy-wireguard 该软件包为 Zeek 提供一个基于 Spicy 的 Wireguard 协议分析器。 您必须安装 Spicy 才能使用此软件包。 这是一个遵循 https://www.wireguard.com/protocol/ 的简单实现。 Wireguard Wireguard 日志 root@kitploit: separator \x09 setseparator , emptyfield empty unsetfield - path conn open 2021-11-24-18-10-11 fields ts uid id.origh...

cve-2020-16898

Zeek Package for Bad Neighbor Detection .. image::...

cve-2020-16898

Zeek Package for Bad Neighbor Detection .. image::...

rita

RITA（リアルインテリジェンス脅威分析） RITAの価値を感じ、さらに自動ハンティング、未来志向の可視化、データエンリッチメントを進めたい場合は、AC-Hunterをご覧ください。 Active Countermeasures 提供。 BHIS スポンサー。 RITAは、ネットワークトラフィック分析のためのオープンソースフレームワークです。 このフレームワークは、TSVまたはJSON形式のZeekログを取り込み、現在以下の主要機能をサポートしています： ビーコン検出 : ネットワーク内外のビーコン動作の兆候を検索 長時間接続検出 : 長時間通信している接続を簡単に確認...

pingback

Pingback C2 检测 用于检测 Pingback C2 工具创建的 ICMP ping 隧道的 Zeek 包和 Suricata 规则。 配套博客文章：https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/ 安装 安装此包最简单的方式是通过 zkg： zkg install corelight/pingback 用法 使用 这个示例 PCAP，并按照下面的步骤进行操作： root@kitploit: $ ls PingbackICMP.pcapng $ zeek -Cr...

zeek-spicy-ipsec

IPSec Este es un analizador de protocolos Zeek que detecta VPN IPSec basado en Spicy. Debes instalar Spicy para usar este paquete. Un blog que detalla el desarrollo de este analizador: https://zeek.org/2021/04/20/zeeks-ipsec-protocol-analyzer/ RFCs: https://tools.ietf.org/html/rfc2406 ESP...

zeek-community-id

面向 Zeek 的 "Community ID" 流哈希 这个 Zeek 包提供对 Community ID 流哈希的支持，这是一种在网络监控器中标记流量流的标准化方式。加载该包后，它会在 conn.log 中添加一个 communityid 字符串字段。 注意 Zeek 6 及更高版本已包含 Community ID 支持。 使用这些 Zeek 版本时，您不再需要此包。 详情请参阅 相关文档。 该包实现了一个 BiF 来执行哈希逻辑，因此需要二进制编译，所以它同时也是一个 Zeek 插件。以下是一个生成的 conn.log 示例： root@kitploit: separator \x...

cve-2020-0601

Zeek test script for CVE-2020-0601 This script can detect exploit attempts for CVE-2020-0601. It performs a simple check to see if a known curve is used in a certificate - if this is not the case a notice is raised. Example notice in notice.log: root@kitploit: 1579043477.791522 CHhAvVGS1DHFjwGM9...

zeek-plugin-roca

Johanna::ROCA このプラグインは、CVE-2017-15361 に該当する鍵の検出を実装します。これは https://github.com/crocs-muni/roca で公開されているソースの再実装です。 このプラグインは、公開鍵をチェックできる2つの新しいBIFを提供します: rocavulnerablecert は証明書が脆弱かどうかをチェックします rocavulnerablemod はモジュラスが脆弱かどうかをチェックします このプラグインには自動的に読み込まれるスクリプトも含まれており、CVE-2017-15361...

CVE-2020-5902-F5BigIP

CVE-2020-5902（F5 BIG-IP 设备） 摘要： 一个针对 CVE-2020-5902 的 Zeek 检测包，该漏洞为 CVE10.0，影响 F5 Networks BIG-IP 设备。 参考： https://corelight.blog/2020/07/28/zeek-in-its-sweet-spot-detecting-f5s-big-ip-cve10-cve-2020-5902/ https://support.f5.com/csp/article/K52145254 https://us-cert.cisa.gov/ncas/alerts/aa20-206a...

Zeek-CVE-Enrichment

zeek-cve-enrichment 该包使用已知的 CVE 信息丰富 suricatacorelight 和 notice Corelight 日志。为了收集 CVE 信息，它首先使用 Python 脚本 reformat.py 读取包含 IP 地址、主机名和 CVE（Common Vulnerabilities and Exposures，通用漏洞披露）标识符的 CSV 文件，并输出一个重新格式化后的版本，该版本按 IP 和主机名的唯一组合整合条目，列出每种组合关联的所有 CVE。 对于如下所示的 input.csv， 192.168.1.1,server1,cve-2021-12...

callstranger-detector

Zeek Package that detects CallStranger CVE-2020-12695 attempts http://callstranger.com/ This package attempts to detect CallStranger CVE-2020-12695 exploitation attempts and data exfiltration. It does so by looking for three key things: 1. UPnP SUBSCRIBE commands with a Notify URL that contains a...

zeek-cheatsheets

Zeek 速查表 这些是 Corelight 以塑封光面纸形式分发的 Zeek 速查表。 我们已为这些速查表授予许可，允许您对其进行修改并分发副本。唯一的限制是不得将其用于商业用途，且任何分发的副本上必须注明出处归功于 Corelight。...

CVE-2020-16898-Bad-Neighbor

用于检测 CVE-2020-16898：Bad Neighbor 的简单策略 脚本提供以下功能 :: 1 脚本根据此处描述的启发式规则进行检查： https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/ 安装 root@kitploit: zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor 或 @load CVE-2020-16898-Bad-Neighbor/scripts 详细说明： 详细告警和描述：脚本生成以下告...

CVE-2021-38647-noimages

CVE-2021-38647 también conocido como "OMIGOD" Un paquete de Zeek que detecta intentos de explotación de CVE-2021-38647, también conocido como OMIGOD. https://corelight.com/blog/detecting-cve-2021-38647-omigod https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure...

Corelight-Ansible-Roles

Corelight-Ansible-Roles 注意： 在运行此版本之前，如果您正在升级，请注意某些变量名称和位置已更改 要开始使用，只需运行以下命令： source curl https://raw.githubusercontent.com/corelight/Corelight-Ansible-Roles/main/download-run-me-first.sh 本产品包含由 MaxMind 创建的 GeoLite2 数据，可从 https://www.maxmind.com 获取。 您可以免费注册，并从...

PetitPotam-notest

Detección de ataques de retransmisión NTLM PetitPotam Un paquete de Zeek para detectar algunos intentos de desencadenar ataques de retransmisión NTLM mediante el exploit Petit Potam. Este paquete detectará lo que parecen ser intentos de explotación exitosos y fallidos. Distingue entre ellos...

SIGRed

CVE-2020-1350 AKA SIGRed v0.30 Summary: A Zeek package for detection of attempts to exploit Microsoft Windows DNS server via CVE-2020-1350 AKA SIGRed - CVE Score of 10.0 References:...

CVE-2021-38647

CVE-2021-38647 AKA "OMIGOD" A Zeek package which detects CVE-2021-38647 AKA OMIGOD exploit attempts. https://corelight.com/blog/detecting-cve-2021-38647-omigod https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647...