Politique simple pour détecter CVE-2020-16898 : Bad Neighbor

Les fonctionnalités suivantes sont fournies par le script

:: 1) Le script vérifie selon l'heuristique décrite ici : https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

Installation

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
ou
@load  CVE-2020-16898-Bad-Neighbor/scripts

Notes détaillées :

Détail des alertes et descriptions : Les alertes suivantes sont générées par le script :

Les heuristiques sont simples :

Selon : https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) recherche des paquets avec un champ Type ICMPv6 de 134 indiquant des annonces de routeur (Router Advertisements) (ii) un champ Option ICMPv6 de 25 indiquant un serveur DNS récursif (RDNSS). (iii) Si cette option RDNSS a également une valeur de champ de longueur paire, l'heuristique supprimerait ou signalerait le paquet associé, car il fait probablement partie d'une tentative d'exploitation Bad Neighbor.