Notifications générées :

Utilisation, remarques et recommandations :

• Ce package peut inclure un échantillon de la réponse du serveur dans la notification. Cela vise à aider les équipes de réponse aux incidents à trier la détection. Si vous souhaitez que les artefacts de réponse du serveur soient inclus dans votre notice.log, modifiez cette option dans scripts/main.zeek en la faisant passer de la valeur par défaut F à T comme suit :
  const include_exploited_server_response_in_notice: bool = T;

• Par défaut, ce package détecte sur tous les ports TCP, et pas seulement sur le port par défaut 7001/tcp. Pour modifier ce comportement afin de ne détecter que sur le port spécifié, utilisez ces options dans scripts/main.zeek :
  const detect_default_port_only: bool = T;
const default_port: port = 7001/tcp;

• Par défaut, ce package détecte TOUTES les tentatives d'exploitation, réussies ou non. Pour modifier ce comportement afin de ne détecter que les exploitations réussies, utilisez ces options dans scripts/main.zeek :
  const detect_unsuccessful_attempts: bool = F;

• Si vous avez des scanners que vous souhaitez exclure de la détection, ajoutez-les au fichier scripts/scanner_exclude_from_detection.zeek.

• Pour l'exécuter sur un pcap que vous possédez déjà : zeek -Cr your.pcap scripts/__load__.zeek

• Ce package fonctionne dans des environnements en cluster ou non.

Commentaires

• À mesure que de nouveaux détails émergent, nous tenons à améliorer ce package pour le bénéfice de la communauté. N'hésitez pas à contacter l'auteur pour toute suggestion ou remarque.