yossisassi/zerologon-exploitation-checkSchnelle und schmutzige automatisierte Prüfungen auf potenzielle Ausnutzung von CVE-2020-1472 (auch bekannt als ZeroLogon), unter Verwendung von führenden Artefakten zur Bestimmung einer tatsächlichen Ausnutzung von CVE-2020-1472. Erfordert Administratorzugriff auf die DCs.
Skript zur Automatisierung von Überprüfungen auf potenzielle Ausnutzung von CVE-2020-1472 (auch bekannt als ZeroLogon) in der Domäne. Dies ist ein sehr "quick and dirty"-Skript, das einige der wichtigsten Artefakte zur Bestimmung einer tatsächlichen Ausnutzung von CVE-2020-1472 automatisiert, zusammengestellt aus mehreren Blogs. Idealerweise kann die 2. Prüfung (auf Ereignisse aus den Sicherheits- und Systemereignisprotokollen) von einem SIEM/Syslog/Event-Collector durchgeführt werden, der Ereignisse weit genug zurückhält, um solche Exploits zu erkennen. Beachten Sie, dass, wenn Netlogon-Protokolle in der Umgebung nicht aktiviert waren und DC-Protokolle durch neuere Ereignisse überschrieben wurden, eine Ausnutzung stattgefunden haben könnte und von den verbleibenden Artefakten in der geprüften Umgebung nicht bemerkt worden wäre. Das Skript kann auch zur Erkennung zukünftiger Ausnutzungen ausgeführt werden, obwohl andere Methoden existieren, von Netzwerk/EPP usw. (lesen Sie mehr über Netlogon-Debug, bevor Sie es für einen längeren Zeitraum einschalten).
