Simple policy to detect CVE-2021-1675

स्क्रिप्ट द्वारा निम्नलिखित कार्यक्षमताएँ प्रदान की जाती हैं

:: यह zeek पैकेज pcap और इस कार्य का उपयोग करता है: https://github.com/LaresLLC/CVE-2021-1675.git

    इस तथ्य पर आधारित है कि 

स्थापना

zeek-pkg install zeek/initconf/
या
@load 

विस्तृत नोट्स:

विस्तृत अलर्ट और विवरण: स्क्रिप्ट द्वारा निम्नलिखित अलर्ट उत्पन्न होते हैं:

अनुमान सरल हैं: जाँच करें

1. \pipe\spoolss named_pipe में
2. endpoint में spoolss
3. ऑपरेशन में RpcEnumPrinterDrivers या RpcAddPrinterDriverEx

इससे निम्नलिखित प्रकार के नोटिस उत्पन्न होने चाहिए: उदाहरण नोटिस:

1625227917.821008 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 Matches on \pipe\spoolss spoolss RpcEnumPrinterDrivers - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - - - - 1625227917.952406 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 Matches on \pipe\spoolss spoolss RpcAddPrinterDriverEx - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - -