0xxon/zeek-plugin-roca인증서가 CVE-2017-15361에 영향을 받는지 확인하는 Bro 플러그인
이 플러그인은 CVE-2017-15361 키 탐지를 구현합니다. https://github.com/crocs-muni/roca 에서 제공되는 소스의 재구현입니다.
이 플러그인은 공개 키를 확인할 수 있는 두 가지 새로운 BIF를 제공합니다:
roca_vulnerable_cert - 인증서가 취약한지 확인합니다roca_vulnerable_mod - 모듈러스가 취약한지 확인합니다.또한 이 플러그인은 자동으로 로드되는 스크립트를 포함하며, 네트워크 트래픽에서 CVE-2017-15361이 발견될 때 알림을 보낼 수 있습니다.
이를 활성화하려면 다음을 설정하세요:
redef ROCA::Notify=T;
그러면 해당 키가 발견될 때 notice.log에 항목이 기록됩니다. 예시:
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2017-10-25-00-59-28
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions suppress_for dropped remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] interval bool string string string double double
1449265638.475275 CHhAvVGS1DHFjwGM9 192.168.6.74 52122 104.236.167.107 4433 Fvv5qY2DMGQY2MYQ03 application/x-x509-user-cert 104.236.167.107:4433/tcp tcp ROCA::CVE_2017_15361_KEY Certificate uses a key potentially affected by CVE-2017-15361 - 192.168.6.74 104.236.167.107 4433 - bro Notice::ACTION_LOG 86400.000000 F - - - - -
#close 2017-10-25-00-59-28
이 플러그인은 시스템에 GMP(GNU MP Bugnum Library)가 설치되어 있어야 합니다. 설치되어 있다면, bro-pkg를 사용하여 다음과 같이 설치할 수 있습니다:
bro-pkg install 0xxon/bro-plugin-roca
gmp의 경로를 지정해야 하는 경우, 저장소를 직접 클론하고 다음과 같이 설치할 수 있습니다:
./configure --with-gmp=[directory]
make install