CVE-2021-31166 検出ルール
CVE-2021-31166 が悪用されているかどうかを検出するためのさまざまなルール
利用可能なルール:
- Suricata
- Snort
- Snort ルールは Suricata でも動作します。
- Zeek
やること:
- シグネチャの開発中に使用された PCAP を利用できるようにする。
Zeek スクリプト
- CVE-2021-31166 の脆弱性が悪用されていることを検出します。
- '悪用されたホスト' がダウンしていることを検出します（しきい値が高く、一部の偽陰性が生じる可能性があります）。
- 指定されたサブネット上でのみ検出します。デフォルト: 192.168.0.0/16、172.16.0.0/12、10.0.0.0/8。
- IIS がインストールされている、または WinRM もしくは WSDAPI が有効で、そのため脆弱である可能性があるホストを学習します。それらのホストが見つかった後でのみ、そのホストに対するエクスプロイトを検出します。
- この機能はデフォルトではオフになっています。オンにしたい場合は、
learn_iis_webservers の値を T に変更してください。
FAQ
影響を受ける OS バージョンは？
- Windows Server, version 2004 (または 20H1) (Server Core インストール),
- Windows 10 Version 2004 (または 20H1) (ARM64/x64/32-bit システム向け),
- Windows Server, version 20H2 (Server Core インストール),
- Windows 10 Version 20H2 (ARM64/x64/32-bit システム向け).
詳細はこちら: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31166
次のソフトウェアは、これらのバージョンで脆弱です:
Suricata ルールと Zeek スクリプトは、WinRM と WSDAPI でも動作しますか？
はい、動作します。WinRM と WSDAPI のポートは次のとおりです:
- WinRM = 5357
- WSDAPI = 5985 (HTTP)
クレジット:
免責事項
これらのスクリプトまたはルールは、本番環境ではテストされていません。自己責任で使用してください。
基本的に、私は自分が何をしているのかよく分かっていません。
フィードバックがあればお送りください。
mvlnetdev/cve-2021-31166-detection-rules
