Simple policy to detect CVE-2020-16898: Bad Neighbor

Las siguientes funcionalidades son proporcionadas por el script

:: 1) El script verifica según la heurística descrita aquí: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

Instalación

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
or
@load  CVE-2020-16898-Bad-Neighbor/scripts

Notas Detalladas:

Alertas y descripciones detalladas: Las siguientes alertas son generadas por el script:

Las heurísticas son simples:

Según : https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) buscando paquetes con un campo Tipo ICMPv6 de 134 que indica Anuncios de Enrutador (Router Advertisements) (ii) un campo Opción ICMPv6 de 25 que indica Servidor DNS Recursivo (RDNSS). (iii) Si esta opción RDNSS también tiene un valor de campo de longitud que es par, la heurística descartaría o marcaría el paquete asociado, ya que probablemente sea parte de un intento de explotación de Bad Neighbor.