Zerologon

सारांश

Zeek पहचान पैकेज CVE-2020-1472 के लिए, जिसे Zerologon के रूप में भी जाना जाता है, जो CVSS 10.0 विशेषाधिकार वृद्धि भेद्यता है, जो Windows Server डोमेन नियंत्रकों के लिए Netlogon प्रोटोकॉल के विरुद्ध है।

सूचनाएँ

डिफ़ॉल्ट रूप से, दोनों सूचनाएँ उठाई जाती हैं:

• Zerologon_Attempt इंगित करता है कि आवश्यक संख्या में लॉगिन प्रयास कम समय के भीतर किए गए।
• Zerologon_Password_Change उपरोक्त को इंगित करता है, और एक सफल पासवर्ड परिवर्तन हुआ।

cluster.zeek में notice_on_exploit_only को T पर redef करके, केवल Zerologon_Password_Change सूचना उत्पन्न होगी।

उपयोग और नोट्स

• Zeek संस्करणों 3.3.0-dev.53-debug और 3.2.0, और Corelight Sensor v19 पर परीक्षण किया गया। यह Zeek 3.0 और उससे ऊपर के साथ काम करना चाहिए।
• यह पैकेज क्लस्टर और गैर-क्लस्टर दोनों वातावरणों में चलेगा।
• शामिल आक्रमण PCAPs के विरुद्ध विकसित किया गया।

संदर्भ

• https://www.secura.com/blog/zero-logon
• https://www.secura.com/pathtoimg.php?id=2055
• https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
• https://corelight.blog/2020/09/16/detecting-zerologon-cve-2020-1472-with-zeek/