سياسة بسيطة لكشف CVE-2021-1675

يوفر السكربت الوظائف التالية

:: حزمة zeek هذه تستخدم pcap وعمل: https://github.com/LaresLLC/CVE-2021-1675.git

    تبني على حقيقة أن 

التثبيت

zeek-pkg install zeek/initconf/
أو
@load 

ملاحظات تفصيلية:

تفاصيل التنبيهات والأوصاف: يُنشئ السكربت التنبيهات التالية:

الاستدلالات بسيطة: تحقق من

1. \pipe\spoolss في named_pipe
2. spoolss في endpoint
3. RpcEnumPrinterDrivers أو RpcAddPrinterDriverEx في operation

يجب أن تتولّد الأنواع التالية من التنبيهات: مثال على تنبيه:

1625227917.821008 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 Matches on \pipe\spoolss spoolss RpcEnumPrinterDrivers - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - - - - 1625227917.952406 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 Matches on \pipe\spoolss spoolss RpcAddPrinterDriverEx - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - -