corelight/zeek-cve-enrichmentScript Zeek et utilitaire Python pour enrichir les journaux de surveillance de la sécurité réseau avec des identifiants CVE pour une meilleure intelligence des menaces et une corrélation des vulnérabilités.
Ce package enrichit les logs Corelight suricata_corelight et notice avec des informations CVE connues. Pour collecter ces informations CVE, il utilise d'abord un script Python reformat.py qui lit un fichier CSV contenant des adresses IP, des noms d'hôtes et des identifiants CVE (Common Vulnerabilities and Exposures), puis produit une version reformatée qui regroupe les entrées par combinaison unique d'IP et de nom d'hôte, en listant toutes les CVE associées à chaque combinaison.
Pour un input.csv comme suit,
192.168.1.1,server1,cve-2021-1234
192.168.1.1,server1,cve-2021-2345
192.168.1.2,server2,cve-2021-3456
192.168.1.1,server1,cve-2021-4567
192.168.1.3,server3,cve-2021-5678
le output.csv serait
#fields ip hostname cve_list
192.168.1.1 server1 cve-2021-1234,cve-2021-2345,cve-2021-4567
192.168.1.2 server2 cve-2021-3456
192.168.1.3 server3 cve-2021-5678
Ensuite, le package utilise un script Zeek pour annoter les logs Corelight suricata_corelight et notice avec les informations CVE extraites à l'étape précédente.
