11 matches found
CVE-2020-16898-Bad-Neighbor
CVE-2020-16898: Bad Neighbor を検出するシンプルなポリシー スクリプトによって提供される機能は以下のとおりです :: 1 Script checks on heuristic described here: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/ インストール root@kitploit: zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor or @load...
CVE-2021-31166
CVE-2021-31166 CVE-2021-31166（HTTP プロトコルスタックの脆弱性）の悪用試行の検出 Suricata ルール Zeek パッケージ 参照 https://corelight.blog/2021/05/27/detecting-cve-2021-31166-http-vulnerability/ https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31166 https://github.com/0vercl0k/CVE-2021-31166...
pingback
Pingback C2 検出 Pingback C2 ツールによって作成された ICMP ping トンネルを検出するための Zeek パッケージと Suricata ルールです。 関連ブログ記事: https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/ インストール このパッケージをインストールする最も簡単な方法は、zkg を使用することです: zkg install corelight/pingback 使用方法 このサンプルPCAP を使用すると、以下のように実行できます: root@kitploit: ...
CVE-2020-5902-F5BigIP
CVE-2020-5902（F5 BIG-IP デバイス） 概要: CVE-2020-5902（F5 Networks BIG-IP デバイスに影響を与える CVE10.0 の脆弱性）に対する Zeek 検出パッケージです。 参考文献: https://corelight.blog/2020/07/28/zeek-in-its-sweet-spot-detecting-f5s-big-ip-cve10-cve-2020-5902/ https://support.f5.com/csp/article/K52145254...
SIGRed
CVE-2020-1350 別名 SIGRed v0.30 概要: CVE-2020-1350 別名 SIGRed - CVE スコア 10.0 を介して Microsoft Windows DNS サーバーを悪用しようとする試みを検出するための Zeek パッケージ。 参照: https://research.checkpoint.com/2020/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers/...
zerologon
Zerologon 概要 CVE-2020-1472 用の Zeek 検出パッケージです。別名 Zerologon として知られ、Windows Server ドメインコントローラーの Netlogon プロトコルに対する CVSS 10.0 の権限昇格脆弱性です。 通知 デフォルトでは、以下の両方の通知が生成されます。 ZerologonAttempt は、短期間内に必要数のログイン試行が行われたことを示します。 ZerologonPasswordChange は、上記に加えてパスワード変更が成功したことを示します。 cluster.zeek 内で noticeonexploitonl...
redxor
LinuxマルウェアC2 'RedXOR' - 検出例 このパッケージは、Zeekを使用してLinuxバックドア「redXOR」をステートベースの手法で検出する方法を示すデモンストレーションです。 参考文献: Corelight blog https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/ 従来のIOC（例: C2...
cve-2021-1675-printnightmare
CVE-2021-1675 検出のためのシンプルなポリシー ================================================================================= スクリプトで提供される機能 :: この Zeek パッケージは pcap と以下の成果を利用しています: https://github.com/LaresLLC/CVE-2021-1675.git root@kitploit: 次の事実に基づいています: インストール root@kitploit: zeek-pkg install zeek/initconf/ または...
CVE-2021-38647-noimages
CVE-2021-38647 別名「OMIGOD」 CVE-2021-38647（別名 OMIGOD）のエクスプロイト試行を検出する Zeek パッケージです。 https://corelight.com/blog/detecting-cve-2021-38647-omigod https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647 エクスプロイト...
cve-2020-13777
CVE-2020-13777을 위한 Zeek 테스트 스크립트 이 스크립트는 서버가 CVE-2020-13777에 잠재적으로 취약한지 확인하기 위한 간단한 테스트를 수행합니다. CVE-2020-13777은 GnuTLS가 암호화되지 않은 세션 티켓을 생성하도록 합니다. 이는 gnutls가 keyname을 0으로 설정하는지 확인함으로써 감지할 수 있는 것으로 보입니다. 이때 세션 티켓의 처음 16바이트를 사용합니다. 이 스크립트는 다음을 확인합니다: 서버가 의심스러운 세션 티켓을 보냅니다 클라이언트가 의심스러운 세션 티켓을 사용하여 서...
