corelight/ripple20Treck TCP/IPスタックにおける「Ripple20」脆弱性をパッシブに検出するためのZeekパッケージ。
Treckデバイス、ディスカバリ/スキャン試行、およびTreck TCP/IPスタックにおける"Ripple20"脆弱性群の悪用を受動的に検出するためのZeekパッケージです。
| 通知 | 確実度 |
|---|---|
| IP/TTLアーティファクトに基づいてTreckデバイスが観測されました - 方法1 | 中 |
| IP/TTLアーティファクトに基づいてTreckデバイスが観測されました - 方法2 | 中 |
| TCPアーティファクトに基づいてTreckデバイスが観測されました | 中 |
| ICMPアーティファクトに基づいてTreckデバイスが観測されました | 高 |
| JSOFスキャニングツール（または派生物）が観測されました - 方法1 | 高 |
| JSOFスキャニングツール（または派生物）が観測されました - 方法2 | 高 |
| JSOFスキャニングツール（または派生物）が観測されました - 方法3 | 高 |
| Treck IP-in-IPカプセル化エクスプロイトの外部パケットを検出 | 高 |
| Treck IP-in-IPカプセル化エクスプロイトの内部パケットを検出 | 高 |
| Treck IP-in-IPカプセル化エクスプロイトの外部および内部パケットを検出 | 高 |
高確実度は、True Positiveであることへの高い信頼を意味します。
中確実度は、False Positiveが発生し得ることを意味しますが、デバイスが複数の中確実度通知タイプを持つ場合、True Positiveである可能性が高くなります。このため、デフォルトではすべての通知が有効になっていますが、中確実度通知がノイズが多い場合は、scripts/config.zeek の enable_medium_fidelity_notices = F で無効にできます。
有用な場合、通知にはトリアージと絞り込みに役立つ少量のパケットメタデータが含まれます。
既存のpcapに対して使用するには zeek -Cr your.pcap scripts/__load__.zeek
バージョン (v0.2) は追加の通知を含み、クラスタ化された、またはクラスタ化されていないライブ環境を完全にサポートします。
このパッケージによってパフォーマンスへの影響がもたらされる場合は、scripts/config.zeek で enable_medium_fidelity_notices = F を設定して中確実度通知を無効にすることもできます。特に、毎秒あたりのパケット数が多い環境、たとえばSYNスキャンを含む多数の接続があるインターネット向けタップでは、このパッケージは connection_established イベントを使用するため、この環境では頻繁かつ高コストになります。この場合、中確実度通知を無効にするとパフォーマンスが大幅に向上します。このパッケージをインストールするときは、パフォーマンスに問題がないことを確認するために、インストール前後にシステムをプロファイリングしてください
| notice.log内のmsg | msgに追加されたデバッグ |
|---|
| TreckデバイスのICMPアーティファクトが観測されました。10.1.2.3がパッチ未適用のTreckデバイスの場合、Treck TCP/IPスタックに関係する'Ripple20'脆弱性の影響を受ける可能性があります。 https://www.jsof-tech.com/ripple20/ | <debug info:icmp=[orig_h=10.1.2.3, resp_h=10.1.133.37, itype=166, icode=0, len=6, hlim=1, v6=F]> |
| JSOF Ripple20スキャナーが10.1.133.37から観測されました（ウィンドウスケール=123）。 https://www.jsof-tech.com/ripple20/ | <debug info: pkt=[is_orig=T, DF=F, ttl=64, size=44, win_size=8192, win_scale=123, MSS=0, SACK_OK=F]> |
| TreckデバイスのTCPアーティファクトが観測されました。パッチ未適用の場合、10.1.2.3のデバイスはTreck TCP/IPスタックに関係する'Ripple20'脆弱性の影響を受ける可能性があります。 https://www.jsof-tech.com/ripple20/ | <debug info: pkt=[is_orig=F, DF=F, ttl=64, size=48, win_size=8760, win_scale=0, MSS=1460, SACK_OK=F]> |
| TreckデバイスのTTLアーティファクトが観測されました（方法1）。10.1.2.3がパッチ未適用のTreckデバイスの場合、Treck TCP/IPスタックに関係する'Ripple20'脆弱性の影響を受ける可能性があります。 https://www.jsof-tech.com/ripple20/ | <debug info: get_current_packet_header() = [l2=[encap=LINK_ETHERNET, len=62, cap_len=62, src=mac redacted, dst=mac redacted, vlan=, inner_vlan=, eth_type=2048, proto=L3_IPV4], ip=[hl=20, tos=0, len=48, id=32027, ttl=64, p=6, src=10.1.2.3, dst=10.1.133.37], ip6=, tcp=[sport=80/tcp, dport=18902/tcp, seq=3766815773, ack=1001, hl=28, dl=0, reserved=0, flags=18, win=8760], udp=, icmp=]> |
| JSOF Ripple20スキャナーが10.1.133.37から観測されました（レスポンダからのRST、ポート40509->40508） 。 https://www.jsof-tech.com/ripple20/ | |
| TreckデバイスのTTLアーティファクトが観測されました（方法2）。10.1.2.4がパッチ未適用のTreckデバイスの場合、Treck TCP/IPスタックに関係する'Ripple20'脆弱性の影響を受ける可能性があります。 https://www.jsof-tech.com/ripple20/ | <debug info: get_current_packet_header() = [l2=[encap=LINK_ETHERNET, len=54, cap_len=54, src=mac redacted, dst=mac redacted, vlan=, inner_vlan=, eth_type=2048, proto=L3_IPV4], ip=[hl=20, tos=16, len=40, id=33734, ttl=64, p=6, src=10.1.2.4, dst=10.1.133.37], ip6=, tcp=[sport=40508/tcp, dport=40509/tcp, seq=0, ack=1, hl=20, dl=0, reserved=0, flags=20, win=0], udp=, icmp=]> |
| JSOF Ripple20スキャナーが10.1.133.37から観測されました（ウィンドウスケール=123）。 https://www.jsof-tech.com/ripple20/ | <debug info: pkt=[is_orig=T, DF=F, ttl=64, size=44, win_size=8192, win_scale=123, MSS=0, SACK_OK=F]> |
