CVE-2020-16898: Bad Neighbor 탐지를 위한 간단한 정책

스크립트에서 제공하는 기능은 다음과 같습니다.

:: 1) 스크립트는 다음에 설명된 휴리스틱을 확인합니다: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

설치

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
또는
@load  CVE-2020-16898-Bad-Neighbor/scripts

상세 참고 사항:

세부 경보 및 설명: 스크립트에 의해 생성되는 경보는 다음과 같습니다:

휴리스틱은 간단합니다:

출처: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) ICMPv6 Type 필드가 134인 패킷(라우터 광고를 나타냄)을 찾습니다. (ii) ICMPv6 Option 필드가 25인 패킷(재귀적 DNS 서버(RDNSS)를 나타냄)을 찾습니다. (iii) 이 RDNSS 옵션의 길이 필드 값이 짝수인 경우, 휴리스틱은 해당 패킷을 드롭하거나 플래그합니다. Bad Neighbor 악용 시도의 일부일 가능성이 높기 때문입니다.

예시 공지: ICMP::BadNeighbor

예시 요약 공지: