الملفات

القواعد

MITRE ATT&CK: T1190 (استغلال تطبيق مواجه للعام)، T1059 (مفسِّر الأوامر والبرمجة النصية).

النشر

1. انسخ ملف القواعد إلى المدير:

   root@kitploit:~

   cp zimbra_cve_2026_73570_rules.xml /var/ossec/etc/rules/
   

2. أضف مصادر السجلات إلى ملف ossec.conf الخاص بـالوكيل (كتلة <ossec_config>):

   root@kitploit:~

   <localfile>
     <log_format>apache</log_format>
     <location>/opt/zimbra/log/access_log.*</location>
   </localfile>
   
   <localfile>
     <log_format>syslog</log_format>
     <location>/var/log/zimbra.log</location>
   </localfile>
   

   اضبط /opt/zimbra/log/access_log.* على مسار سجل الوصول الفعلي لـ Zimbra/nginx إذا كان مختلفاً.

3. أعد تشغيل المدير والوكيل:

   root@kitploit:~

   # المدير
   systemctl restart wazuh-manager
   # الوكيل
   systemctl restart wazuh-agent
   

التحقق

تحقق من صحة الصياغة واختبرها باستخدام logtest الخاص بالمدير:

الصق سطراً نموذجياً من سجل الوصول (حمولة الحقن) لتأكيد تفعيل القاعدة 910102:

ملاحظات الكشف

• القواعد 910100/910101/910102 تُفعَّل على سجلات الوصول على الويب (مطابقة نصية خام، بدون اعتماد على أجهزة فك الترميز). القاعدة 910103 تُفعَّل على /var/log/zimbra.log عندما يسجّل swatchdog سطر Service status change المُنفَّذ.
• تتم تغطية كل من الأحرف الشل الخاصة المشفَّرة والحرفية (%3B/;, %7C/|, %26/&, %24/$, %60/علامة backtick، %0a/%0d, %23/#).