Règles de détection pour CVE-2021-31166

Différentes règles pour détecter si CVE-2021-31166 est exploitée

Règles disponibles :

À faire :

Mettre à disposition les PCAPs qui ont été utilisés lors du développement des signatures

Script Zeek

Détection lorsque la vulnérabilité CVE-2021-31166 est exploitée.
Détection si l'hôte exploité est hors ligne (ce seuil est élevé et peut donner des faux négatifs).
Détecter uniquement sur un sous-réseau donné. Par défaut : 192.168.0.0/16, 172.16.0.0/12 et 10.0.0.0/8.
Apprendre les hôtes qui ont IIS installé ou qui ont WinRM ou WSDAPI activé et qui peuvent donc être vulnérables. Ne détecter l'exploitation que sur ces hôtes après qu'ils aient été trouvés.
- Cette fonctionnalité est désactivée par défaut. Changez la valeur de learn_iis_webservers à T si vous souhaitez l'activer.