zeek-long-connections

长连接 Zeek 通常在连接结束时记录连接日志，但对于存活时间极长的连接，这可能会给事件响应人员带来麻烦，因为这类连接直到为时已晚时才被防御者发现。 该包提供了一个名为 connlong 的新日志，用于为长连接记录“中间”连接日志。它被记录到单独的日志流中，以避免混淆普通 Zeek conn 日志的语义，用户可以认为后者只包含“完整”连接。 该脚本在发现长连接时还可以生成 LongConnection::found 通知。 安装 :: root@kitploit: zkg refresh zkg install zeek/corelight/zeek-long-connections 配...

corelight-client

.. corelight-client: .. バージョン番号は自動的に埋め込まれます。 .. |version| replace:: 1.5.17 ==================================== Corelight Sensor コマンドラインクライアント .. contents:: 概要 このツールは、Corelight Sensor 向けのコマンドラインクライアントを提供します。Corelight Sensor は、Bro の開発者によってゼロから設計された Bro...

CorelightForSentinelOne

用于 Singularity 运营中心的 SentinelOne 仪表板 概述 本指南将帮助您设置和使用 SentinelOne 仪表板，这些仪表板提供强大的数据洞察，用于监控和分析您的网络流量。无论您是安全分析师、网络管理员还是 IT 专业人员，这些仪表板都可以帮助您轻松可视化和跟踪网络的安全状态。 安装与配置 解析器配置 通过 Marketplace 安装解析器 -- TBD -- 通过 GitHub 仓库安装解析器 注意： 如果您更倾向于使用 GitHub 仓库而不是 Marketplace 进行安装，请按照以下步骤操作。如果您已经安装了这些解析器，请跳过这些步骤。 步骤 1： 在...

Zeek-CVE-Enrichment

zeek-cve-enrichment 该包使用已知的 CVE 信息丰富 suricatacorelight 和 notice Corelight 日志。为了收集 CVE 信息，它首先使用 Python 脚本 reformat.py 读取包含 IP 地址、主机名和 CVE（Common Vulnerabilities and Exposures，通用漏洞披露）标识符的 CSV 文件，并输出一个重新格式化后的版本，该版本按 IP 和主机名的唯一组合整合条目，列出每种组合关联的所有 CVE。 对于如下所示的 input.csv， 192.168.1.1,server1,cve-2021-12...

phantom-playbooks

这是为 Splunk Phantom 开发的 Corelight 社区 Playbook 仓库。这些提供了一些示例，供你制作自己的 playbook。 Corelight Investigate DNS Alert 本 playbook 从 Splunk 获取 DNS 的已保存搜索或警报机制，并提取警报的 Zeek UID。然后使用逻辑根据 DNS 应答结果识别误报。接着，逻辑获取 DNS IPv4/IPv6 地址，并查找具有匹配 IP 元组的 Conn 日志。随后使用服务来查找 HTTP 或 SSL 流量，并提取有趣的元数据。如果在这些连接期间看到文件，则使用文件 SHA1 在...

CorelightForSecOps

收集 Corelight Sensor 日志 本文档介绍如何通过配置 Corelight Sensor 和 Chronicle 转发器来收集 Corelight Sensor 日志。本文档还列出了支持的日志类型和支持的 Corelight 版本。 有关更多信息，请参阅 将数据注入 Chronicle。 准备工作 验证 Corelight Sensor 的版本。Corelight Google SecOps 解析器是针对 27.13 及更早版本设计的。更高版本的 Corelight Sensor...

ecs-logstash-mappings

Corelight ECS Logstash 管道 本仓库包含 Logstash 管道文件，需配合以下仓库中的安装脚本使用： https://github.com/corelight/ecs-templates 该仓库中的安装脚本将从本仓库下载文件，因此无需也不建议直接使用本仓库。 许可证 这些文件和自动化脚本均以 BSD 许可证开源。详细信息请参阅 COPYING。 Github 仓库定义 Elasticsearch 模板 https://github.com/corelight/ecs-templates Elasticsearch 索引模板、组件模板、ILM 策略、设置和映射 安装...

Elasticsearch_rules

Elasticsearchrules SOC prime watcher 规则的 ElasticSearch 检测版本，并包含一些新的 Corelight 规则 请注意，其中一些规则需要根据您的环境进行调整。 要在 Elastic 中加载，请下载 ndjson 文件，展开 Security 并转到 alerts。单击 Managed Alerts，再单击 import rules，然后将文件上传到 Elastic。这将创建两个新标签：一个为 Zeek——这些规则将适用于 OS Zeek 和 Corelight；另一个为 Corelight，仅适用于 Corelight 数据。...

cve-2022-26809

CVE-2022-26809 CVE-2022-26809 の試みと成功した悪用を検出します。 これは DCE/RPC を介したリモートコード実行の脆弱性です。 このパッケージの詳細は、こちらの Corelight ブログ記事 で説明されています。 このパッケージは以下の通知を生成します: CVE202226809::ExploitAttempt、および CVE202226809::ExploitSuccess 最初の通知は攻撃が試みられたときに生成されますが、必ずしも成功したとは限りません。...

ecs-templates

概述 本仓库包含将 Corelight 或 Zeek 日志转换为 Elastic Common Schema（ECS）命名标准并将其存储到 Elastic Stack 部署中所需的一切。该仓库最初于 2019 年发布，与 Elastic Common Schema 同年，至今仍在积极维护和更新。 它支持超过 200 种不同的日志和指标，旨在支持所有环境，同时能够自定义所需和期望的选项以适配每个独特的环境。 我们投入了大量精力来确保对所有环境的支持，同时允许自定义必要和期望的选项，以适应每个独特且各自的部署。 该仓库主要由两部分组成： 1. Elasticsearch...

ecs-mapping

Corelight ECS 摄取管道 本仓库由摄取管道文件组成，这些文件需与以下仓库中的安装脚本配合使用 https://github.com/corelight/ecs-templates 该仓库中的安装脚本会从此仓库下载文件，因此无需也不建议直接使用本仓库。 许可证 这些文件和自动化脚本均以 BSD 许可证开源。详见 COPYING。 GitHub 仓库说明 Elasticsearch 模板 https://github.com/corelight/ecs-templates Elasticsearch 索引模板、组件模板、ILM 策略、设置和映射 安装脚本 Logstash 管道...

Corelight-Ansible-Roles

Corelight-Ansible-Roles 注意： 在运行此版本之前，如果您正在升级，请注意某些变量名称和位置已更改 要开始使用，只需运行以下命令： source curl https://raw.githubusercontent.com/corelight/Corelight-Ansible-Roles/main/download-run-me-first.sh 本产品包含由 MaxMind 创建的 GeoLite2 数据，可从 https://www.maxmind.com 获取。 您可以免费注册，并从...

CorelightForCrowdStrike

CorelightForCrowdStrike Corelight 面向 CrowdStrike LogScale 和下一代 SIEM 的应用...

CVE-2021-41773

CVE-2021-41773 Apache HTTP Server 2.4.49 CVE-2021-41773 および 2.4.50 CVE-2021-42013 のパストラバーサル/RCE に関する通知を発行する Zeek パッケージ 参照 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-41773 https://httpd.apache.org/security/vulnerabilities24.htmlCVE-2021-42013...

threat-hunting-guide

Corelight 威胁狩猎指南（工作副本） 此仓库用作 Corelight 威胁狩猎指南的工作数据。此处维护的源文本会定期进行编辑、排版和图形设计，随后以 PDF 文件形式发布并由 Corelight, Inc.（“Corelight”）分发。这些操作没有固定的时间表，但历来每六到十二个月会发布一个新版本。 如果您需要最新版本的 Corelight 威胁狩猎指南，可以在此处找到。 PDF 版本是发布时内容的一个时间点快照，可能不包含此仓库中的所有内容。 细则 / 许可证 这项工作由 Corelight 和 Corelight 社区成员维护，虽然它引用了 Zeek 项目和 Zeek...

zeek-cheatsheets

Zeek 速查表 这些是 Corelight 以塑封光面纸形式分发的 Zeek 速查表。 我们已为这些速查表授予许可，允许您对其进行修改并分发副本。唯一的限制是不得将其用于商业用途，且任何分发的副本上必须注明出处归功于 Corelight。...

cve-2025-8088

CVE-2025-8088: WinRAR Path Traversal Detection Overview This repository documents research and detection strategies for CVE-2025-8088, a path traversal vulnerability in WinRAR. Exploitation of this vulnerability can allow attackers to extract files outside the intended directory, leading to...

hassh

"HASSH" - SSHクライアントとサーバーのプロファイリング手法 「HASSH」は、特定のクライアントおよびサーバーSSH実装を識別するために使用できるネットワークフィンガープリント標準です。フィンガープリントはMD5フィンガープリントの形で簡単に保存、検索、共有できます。 HASSHは2018年にSalesforceで考案されました。しかし、このプロジェクトはもはやSalesforceによって積極的にメンテナンスされていません。オリジナルの作成者であるBen Reardon氏が、Corelightでアクティブなフォークを維持しています。 HASSHは何に役立つか：...

CorelightForSplunk

CorelightForSplunk...

Dashboards-Splunk-DNS-Hunting-Beaconing

DNS Hunting-Beaconing v19.2.0.0 用于搜寻和识别 Beaconing 的 DNS 仪表板 该仪表板不再使用任何第三方模块或 Splunk 查找表来识别“受信任域”。 所有这些工作都已移至 Corelight/Zeek 传感器。 然而，该仪表板确实使用两个 Splunk 查找表来识别内部和授权的 DNS 服务器。 文件 'internaldnsservers.csv' 是所有获授权与外部 DNS 服务器通信的内部 DNS 服务器的列表。 文件 'authorizeddnsservers.csv' 是所有其他设备获授权直接与之通信的 DNS 服务器的列表。...