تتضمن الإشعارات ما يصل إلى 1500 بايت من رؤوس طلبات HTTP بالإضافة إلى معلومات URI، مما قد يكون مفيدًا لتسريع الاستجابة للحوادث والفرز، دون الحاجة بالضرورة إلى الرجوع إلى ملف pcap. مثال:

#separator \x09 #set_separator , #empty_field (empty) #unset_field - #path notice #open 2020-07-27-16-57-12 #fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude #types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] interval string stringstring double double

1595831352.218935 C9EcoD1bu0ertt08bb 192.168.31.37 63034 192.168.1.3 80 - - - tcp CVE_2020_5902::BIGIP_exploit_attempt An attempt to exploit an F5 BIG-IP device via CVE-2020-5902 was detected using uri '/hsqldb;' , however the server responded with a code='404' reason='Not Found', indicating the exploit attempt failed. The HTTP request headers are '{\x0a\x09[1] = [original_name=User-Agent, name=USER-AGENT, value=Wget/1.20.3 (darwin19.0.0)],\x0a\x09[2] = [original_name=Accept, name=ACCEPT, value=*/*],\x0a\x09[3] = [original_name=Accept-Encoding, name=ACCEPT-ENCODING, value=identity],\x0a\x09[4] = [original_name=Host, name=HOST, value=192.168.1.3],\x0a\x09[5] = [original_name=Connection, name=CONNECTION, value=Keep-Alive]\x0a}'. Refer to https://support.f5.com/csp/article/K52145254 - 192.168.31.37 192.168.1.3 80 - - Notice::ACTION_LOG 3600.000000 - - - - -

الاستخدام والملاحظات والتوصيات:

• لاستخدامه مع ملف pcap لديك بالفعل zeek -Cr your.pcap scripts/__load__.zeek
• ستعمل هذه الحزمة في البيئات المجمعة الحية أو غير المجمعة.
• تم تحضير هذه الحزمة بناءً على مجموعة من المعلومات المتاحة للعموم حالياً، وليس على ملفات pcap للاستغلالات.

التغذية الراجعة

• مع ظهور التفاصيل، نحن حريصون على تحسين هذه الحزمة لصالح المجتمع، فلا تتردد في الاتصال بالمؤلف مع أي اقتراحات أو تعليقات.