zeek-cve-enrichment

이 패키지는 suricata_corelight 및 notice Corelight 로그를 알려진 CVE 정보로 보강합니다. CVE 정보를 수집하기 위해, 먼저 Python 스크립트 reformat.py를 사용하여 IP 주소, 호스트 이름 및 CVE (Common Vulnerabilities and Exposures) 식별자가 포함된 CSV 파일을 읽고, 고유한 IP 및 호스트 이름 조합별로 항목을 통합하여 각 조합에 대한 모든 관련 CVE를 나열하는 재구성된 버전을 출력합니다.

다음과 같은 input.csv가 있다면,

192.168.1.1,server1,cve-2021-1234
192.168.1.1,server1,cve-2021-2345
192.168.1.2,server2,cve-2021-3456
192.168.1.1,server1,cve-2021-4567
192.168.1.3,server3,cve-2021-5678

output.csv는 다음과 같을 것입니다

#fields ip hostname cve_list
192.168.1.1 server1 cve-2021-1234,cve-2021-2345,cve-2021-4567
192.168.1.2 server2 cve-2021-3456
192.168.1.3 server3 cve-2021-5678

다음으로, 이 패키지는 Zeek 스크립트를 사용하여 이전 단계에서 추출한 CVE 정보로 suricata_corelight 및 notice Corelight 로그에 주석을 추가합니다.