CVE-2020-16898: Bad Neighbor を検出するシンプルなポリシー

スクリプトによって提供される機能は以下のとおりです

:: 1) Script checks on heuristic described here: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

インストール

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
or
@load  CVE-2020-16898-Bad-Neighbor/scripts

詳細な注記:

アラートの詳細と説明：スクリプトによって生成されるアラートは以下のとおりです。

ヒューリスティックはシンプルです：

参照： https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) ICMPv6 Type フィールドが 134 のパケットを探します。これはルーター広告 (Router Advertisement) を示します。 (ii) ICMPv6 Option フィールドが 25 のパケットを探します。これは再帰 DNS サーバー (RDNSS) を示します。 (iii) この RDNSS オプションの length フィールドの値が偶数の場合、ヒューリスティックは関連するパケットをドロップまたはフラグ付けします。これは Bad Neighbor エクスプロイトの試みの一部である可能性が高いためです。

通知の例：ICMP::BadNeighbor

サマリー通知の例：