go-zeek-broker-ws

用于 Golang 的 Zeek Broker websocket 接口库 该库实现了 Zeek Broker websocket 接口。 提供了在 Zeek 和 Go 类型之间进行合理映射的辅助函数。 用法 该库包含两个包： encoding encoding 对用于表示 Zeek 类型的递归 JSON 数据结构（Data 结构体）以及 Zeek 事件和错误消息的 Broker 编码（DataMessage 结构体）进行了建模。这些结构可以直接使用（在某些情况下必须直接使用，参见下一节中的订阅示例），但一些辅助函数使构建消息更加方便。要手动构造一个 Zeek string：...

icannTLD

icannTLD Corelight-update 现在可用于创建和维护 icannTLD 输入文件。 脚本描述 Zeek 脚本使用 ICANN 官方顶级域（TLD）列表，并结合 Input Framework，从 DNS 查询中提取相关信息，并标记其是否受信任。ICANN TLD 列表的源可在此处找到：https://publicsuffix.org/list/effectivetldnames.dat. 受信任的域名列表是用户创建的自定义列表，用于在搜索过程中过滤域名。 脚本功能 icannTLD 解析每个 DNS 查询，并向 DNS 日志中添加以下字段。 字段| 值| 描述...

ripple20

"Ripple20" Treck IOT/ICS 设备发现与漏洞利用检测 v0.2 Summary: 一个用于被动检测 Treck 设备、发现/扫描尝试以及针对 Treck TCP/IP 协议栈中 "Ripple20" 系列漏洞的利用行为的 Zeek 包。 References: https://corelight.blog/2020/06/30/ripple20-zeek-package-open-sourced/ https://www.jsof-tech.com/ripple20/ 由 JSOF 提供的 python/scapy 扫描包。...

redxor

C2 de malware Linux 'RedXOR': un ejemplo de detección Este paquete sirve como demostración de cómo se puede usar Zeek para detectar la puerta trasera de Linux "redXOR" mediante métodos basados en estado. Referencias: Blog de Corelight...

Zeek-Endpoint-Enrichment-conn

Zeek-Endpoint-Enrichment-conn 使用 EDR 数据丰富 conn.log 详细文档见 https://docs.corelight.com...

zeek-elf

Zeek ELF 包 该包实现了： ELF 太长不看！ 如果你已经安装了 zkg，并且已经运行过... root@kitploit: zkg autoconfig ...那么你可以像这样安装该包： root@kitploit: sudo zkg install zeek-elf 现在，在任何 Zeek 脚本中，只需加载该插件，它就能“直接工作”： root@kitploit: @load Zeek/ELF 该插件的新事件可在 events.bif 中找到。 构建与安装 该插件可以通过以下方式构建： root@kitploit: ./configure...

zeek-quic

Google QUIC 分析器/检测器：用于 Zeek 此分析器可以解析并检测 Google 实现的 QUIC（此处简称为 GQUIC），其使用的线上格式描述于： https://www.chromium.org/quic。 在编写此分析器时，Chrome 所使用的 GQUIC 版本为 Q039，部分 Google 服务器（以及可能的 Chrome canary 版本）也能够使用 Q043。 在测试期间，此分析器能够检测到上述两个版本。 当时（2018 年 5 月 4 日至 5 日）GQUIC 文档中描述的线上格式，似乎也与实际环境中的真实实现不同步。 此外，似乎一直有持续的努力将...

zeek2es

zeek2es.py 此 Python 应用程序将 Zeek 的 ASCII TSV 和 JSON 日志转换为 ElasticSearch 的批量加载 JSON 格式。 目录： 简介 安装 Elastic v8.0+ Docker 升级 zeek2es ES 摄取管道 数据过滤 Python 过滤器 按键过滤 命令行示例 命令行选项 要求 备注 Humio JSON 日志输入 数据流 辅助脚本 Cython 简介 想要查看同一连接 ID uid 或文件 ID fuid 对应的多个 Zeek 日志吗？以下是单个 uid 在 files.log、http.log 和 conn.log...

zeek-xor-exe-plugin

Corelight::PEXOR Zeek 插件，用于检测并解密经过 XOR 混淆的 Windows EXE。 用于对文件进行 XOR 的密钥会被自动发现，并被用于将文件还原为原始的 Windows 可执行文件。文件去混淆后，会被传回文件分析框架进行进一步分析。 安装 从源码安装 .. code:: bash git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install 现在确认 Zeek 可以识别它： .. code:...

zeek-openvpn

zeek::openvpn ================================= 本项目已弃用，推荐使用 https://github.com/corelight/zeek-spicy-openvpn 一个用于在以下模式下检测和解析 OpenVPN 的插件： UDP w/ TLS UDP w/ TLS & TLS Auth TCP w/ TLS TCP w/ TLS & TLS Auth 到目前为止，该插件尚不能检测 UDP 或 TCP 的共享密钥模式。 如果此协议分析器能够解析 TLS 信息，你将在 ssl.log 中找到相关数据。TCP TLS 支持已可用，而 UDP...

zeek-spicy-facefish

FacefishRootkit 该 Zeek+Spicy 分析器用于检测 Facefish Linux rootkit 的 C2，相关说明见： https://blog.netlab.360.com/sshstealerfacefishen/ https://blogs.juniper.net/en-us/threat-research/linux-servers-hijacked-to-implant-ssh-backdoor https://thehackernews.com/2021/05/researchers-warn-of-facefish-backdoor.html...

zerologon

Zerologon Resumen Un paquete de detección de Zeek para CVE-2020-1472, también conocido como Zerologon, que es una vulnerabilidad de escalada de privilegios con CVSS 10.0 contra el protocolo Netlogon para controladores de dominio de Windows Server. Notificaciones De forma predeterminada, se genera...

zeekjs-notice-telegram

Zeek Notice Telegram（ZeekJS 版本） 该包使用 TypeScript（ZeekJS）重新实现了 zeek-notice-telegram，以规避 ActiveHTTP 的不可靠性。 它还借鉴了上述 Yacin 的包，以及 该 包的原始灵感（zeek-notice-slack）的 ZeekJS 重新实现，该实现现在已成为 zeekjs-notice-slack。 代码生成 可以通过运行 npm install && npm run build 从 TypeScript 源码重新生成 scripts/telegram.js。 示例用法 基本用法与...

CVE-2022-26937

CVE-2022-26937 一个用于检测 CVE-2022-26937 的包，该漏洞存在于微软的 NFS 实现中。 示例 你可以在 testing\traces 目录中包含的 PCAP 文件上运行此逻辑： root@kitploit: $ zeek -Cr CVE-2022-26937-exploited.pcap /Source/CVE-2022-26937/scripts/load.zeek $ cat notice.log separator \x09 setseparator , emptyfield empty unsetfield - path notice open...

cve-2020-0601-plugin

CVE-2020-0601用Zeekテストスクリプト このスクリプトは、CVE-2020-0601のエクスプロイト試行を検出できます。証明書で既知の曲線が使用されているかどうかをチェックし、そうでない場合は通知を発行します。 notice.log内の通知例: root@kitploit: 1579043477.791522 CHhAvVGS1DHFjwGM9 192.241.209.49 46110 192.241.202.21 4433 F37z6n1B8zn1fZjpj application/x-x509-user-cert 192.241.202.21:4433/tcp tcp...

zeek v9.0.0-rc2

The Zeek Network Security Monitor A powerful framework for network traffic analysis and security monitoring. Key Features — Documentation — Getting Started — Development — License Key Features In-depth Analysis Zeek ships with analyzers for many protocols, enabling high-level semantic analysis at...

softsensor-docker-prototype

Corelight Software Sensor Docker Bundle प्रलेखन Overview इसमें क्या शामिल है Corelight Software Sensor Zeek Package Manager Corelight-update वैकल्पिक रूप से Installing Docker Debian या RHEL-आधारित सिस्टम पर Docker स्थापित करने के लिए एक स्क्रिप्ट दूसरे Corelight रिपॉजिटरी में शामिल है। स्क्रिप्ट ...

ids-traffic-analysis

Network Intrusion Detection and Traffic Analysis Platform Thi...

zeek -- multiple vulnerabilities

Tim Wojtulewicz of Corelight reports: HIGH: SMB: Chains of AndX messages can crash Zeek HIGH: DNP3: Memory exhaustion via file control g70v1 fields HIGH: SIP: Memory exhaustion from long request/response paths HIGH: DHCP: Memory exhaustion from retained options after analyzer violation HIGH: SMTP...

PT-2026-62010

Malcolm is a network traffic analysis tool suite. Prior to version 26.07.0, safe-extract.py extracts uploaded archives with no limit on entry count, directory depth, total entries, or output size. A small malicious archive containing a large number of directory or file entries causes the filebeat...