"Ripple20" Treck IOT/ICS डिवाइस डिस्कवरी और एक्सप्लॉइट डिटेक्शन (v0.2)

सारांश:

Treck डिवाइसों की निष्क्रिय पहचान, डिस्कवरी/स्कैनिंग प्रयासों और Treck TCP/IP स्टैक में "Ripple20" भेद्यताओं के सेट के शोषण के लिए एक Zeek पैकेज।

संदर्भ:

• https://corelight.blog/2020/06/30/ripple20-zeek-package-open-sourced/
• https://www.jsof-tech.com/ripple20/
• JSOF द्वारा प्रदान किया गया python/scapy स्कैनिंग पैकेज।
• https://treck.com/vulnerability-response-information/
• https://www.us-cert.gov/ics/advisories/icsa-20-168-01
• https://www.kb.cert.org/vuls/id/257161

जारी की गई सूचनाएँ :

उच्च विश्वसनीयता का मतलब है ट्रू पॉज़िटिव की उच्च संभावना।
मध्यम विश्वसनीयता का मतलब है कि फ़ॉल्स पॉज़िटिव हो सकते हैं, हालांकि यदि किसी डिवाइस पर एक से अधिक मध्यम विश्वसनीयता वाली सूचना प्रकार हैं, तो उसके ट्रू पॉज़िटिव होने की संभावना अधिक है। इस कारण से, डिफ़ॉल्ट रूप से सभी सूचनाएँ सक्षम हैं, हालांकि यदि मध्यम विश्वसनीयता वाली सूचनाएँ बहुत अधिक शोर पैदा करती हैं, तो आप उन्हें scripts/config.zeek में enable_medium_fidelity_notices = F के साथ अक्षम कर सकते हैं।

जहाँ सहायक हो, सूचनाओं में पैकेट मेटाडेटा की थोड़ी मात्रा शामिल होती है जो ट्राइएज और परिष्कार के लिए उपयोगी है।

उपयोग और अनुशंसाएँ:

• पहले से मौजूद pcap पर उपयोग करने के लिए zeek -Cr your.pcap scripts/__load__.zeek
• संस्करण (v0.2) अतिरिक्त सूचनाएँ जोड़ता है और क्लस्टर्ड या गैर-क्लस्टर्ड लाइव वातावरण का पूर्ण समर्थन करता है।
• आप मध्यम विश्वसनीयता वाली सूचनाओं (Medium Fidelity notices) को enable_medium_fidelity_notices = F के द्वारा scripts/config.zeek में अक्षम करना चाह सकते हैं, यदि इस पैकेज के कारण प्रदर्शन पर प्रभाव पड़ता है। विशेष रूप से उच्च पैकेट-प्रति-सेकंड (Packets per Second) वातावरण में, उदाहरण के लिए इंटरनेट-फेसिंग टैप, जहाँ SYN स्कैन सहित बहुत सारे कनेक्शन होते हैं, यह पैकेज connection_established इवेंट का उपयोग करता है, जो इस वातावरण में बार-बार घटित होगा और महंगा होगा। मध्यम विश्वसनीयता वाली सूचनाओं को अक्षम करने से इस स्थिति में प्रदर्शन में बड़ा सुधार होगा। इस पैकेज को स्थापित करते समय, सुनिश्चित करें कि आप अपने सिस्टम का पहले और बाद में प्रोफाइलिंग करें ताकि प्रदर्शन आपके लिए समस्या न बने।