Простое правило для обнаружения CVE-2020-16898: Bad Neighbor

Скрипт предоставляет следующие функции

:: 1) Скрипт проверяет эвристику, описанную здесь: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

Установка

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
или
@load  CVE-2020-16898-Bad-Neighbor/scripts

Подробные примечания:

Детальные оповещения и описания: Скрипт генерирует следующие оповещения:

Эвристика проста:

Согласно: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) поиск пакетов с полем Type ICMPv6, равным 134, что указывает на объявления маршрутизаторов (Router Advertisements) (ii) поле Option ICMPv6, равное 25, указывающее на рекурсивный DNS-сервер (RDNSS). (iii) Если этот параметр RDNSS также имеет чётное значение поля длины, эвристика отбрасывает или помечает соответствующий пакет, поскольку он, вероятно, является частью попытки эксплуатации Bad Neighbor.

Пример уведомления: ICMP::BadNeighbor

Пример сводного уведомления: