CVE-2021-1675 検出のためのシンプルなポリシー

=================================================================================

スクリプトで提供される機能

:: この Zeek パッケージは pcap と以下の成果を利用しています: https://github.com/LaresLLC/CVE-2021-1675.git

    次の事実に基づいています:

インストール

zeek-pkg install zeek/initconf/
または
@load

詳細ノート:

詳細なアラートと説明: スクリプトによって以下のアラートが生成されます:

ヒューリスティックはシンプルです: 以下をチェックします

named_pipe 内の \pipe\spoolss
endpoint 内の spoolss
operation 内の RpcEnumPrinterDrivers または RpcAddPrinterDriverEx

これにより、次の種類の通知が生成されます: 例の通知:

1625227917.821008 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 Matches on \pipe\spoolss spoolss RpcEnumPrinterDrivers - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - - - - 1625227917.952406 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 Matches on \pipe\spoolss spoolss RpcAddPrinterDriverEx - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - -

cve-2021-1675-printnightmare

人気