corelight/detect-ransomware-filenamesZeek स्क्रिप्ट जो SMB ट्रैफ़िक पर नज़र रखती है और Anti-Ransomware File System Resource Manager सूची का उपयोग करके ज्ञात रैंसमवेयर फ़ाइलनामों के लिए अलर्ट जारी करती है।
यह पैकेज/स्क्रिप्ट SMB लेन-देन पर नज़र रखता है ताकि ज्ञात खराब फ़ाइलनामों की तलाश की जा सके जिनका उपयोग रैनसमवेयर करने के लिए जाना जाता है। यह एंटी-रैनसमवेयर फ़ाइल सिस्टम रिसोर्स मैनेजर सूचियों के ऊपर काम करता है जिन्हें यहाँ बनाए रखा जाता है।
सूची को समय-समय पर ताज़ा करने में सक्षम होने के लिए एक Python स्क्रिप्ट (download-list.py) शामिल है। डिफ़ॉल्ट रूप से, यह नई फ़ाइल को inputs/ फ़ोल्डर में डाउनलोड करेगी।
यह पैकेज zkg के माध्यम से उपलब्ध है, हालाँकि चूँकि इसके दो भाग हैं (स्क्रिप्ट
और इनपुट फ़ाइल), इसे मैन्युअल रूप से स्थापित करना अक्सर बेहतर होता है।
Zeek के लिए, scripts/check-for-ransomware-filenames.zeek स्क्रिप्ट और
inputs/fsrm_patterns_for_zeek.tsv फ़ाइलों को एक साथ एक निर्देशिका में रखें, फिर
अपनी local.zeek फ़ाइल में निम्नलिखित जैसी एक पंक्ति जोड़ने के लिए संपादित करें:
@load /path/to/check-for-ransomware-filenames.zeek
Corelight उपकरण के लिए, इस रिपॉजिटरी को किसी कस्टम बंडल में जोड़ने के लिए zkg का उपयोग करें,
साथ में किसी भी अन्य कस्टम पैकेज के साथ जिन्हें आप लोड करना चाहते हैं। इस बंडल को स्थापित करने के लिए corelight-client का उपयोग करें।
फिर, इनपुट फ़ाइल को लोड करने के लिए corelight-client का उपयोग करें, जैसे:
corelight-client -b <sensor IP> bro input upload --name fsrm_patterns_for_zeek.tsv --file fsrm_patterns_for_zeek.tsv
स्क्रिप्ट निम्नलिखित जैसी सूचनाएँ उत्पन्न करती है:
{
"_path": "notice",
"_system_name": "bas-cl-swsensor-01",
"_write_ts": "2020-04-27T21:40:10.494579Z",
"_node": "worker-02",
"ts": "2020-04-27T21:40:10.494579Z",
"uid": "CNhUff2G2TzzRoQi45",
"note": "Ransomware::KnownBadFilename",
"msg": "Detected potential ransomware! Known bad file name: test3.hj36MM in use by client 10.0.2.51 on file server 172.16.4.66",
"src": "10.0.2.51",
"dst": "172.16.4.66",
"peer_descr": "worker-02",
"actions": [
"Notice::ACTION_LOG"
],
"suppress_for": 3600
}
यदि/जब आपको कोई सूचना मिलती है, तो जाँच करें, आदर्श रूप से जितनी जल्दी हो सके!
इस सॉफ़्टवेयर के लाइसेंस के बारे में जानकारी के लिए कृपया लाइसेंस फ़ाइल यहाँ पढ़ें।