Política simples para detectar CVE-2020-16898: Bad Neighbor

As seguintes funcionalidades são fornecidas pelo script

:: 1) O script verifica a heurística descrita aqui: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

Instalação

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
ou
@load  CVE-2020-16898-Bad-Neighbor/scripts

Notas detalhadas:

Alertas e descrições detalhados: Os seguintes alertas são gerados pelo script:

As heurísticas são simples:

Conforme : https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) procurando pacotes com um campo ICMPv6 Type de 134, indicando Router Advertisements (ii) um campo ICMPv6 Option de 25, indicando Recursive DNS Server (RDNSS). (iii) Se essa opção RDNSS também tiver um valor de campo de comprimento par, a heurística descartará ou sinalizará o pacote associado, pois provavelmente faz parte de uma tentativa de exploração do Bad Neighbor.