简单策略以检测CVE-2021-1675

脚本提供的以下功能

:: 此Zeek包利用pcap及以下工作的成果：https://github.com/LaresLLC/CVE-2021-1675.git

    基于以下事实

安装

zeek-pkg install zeek/initconf/
或
@load

详细说明：

详细告警与描述：脚本会生成以下告警：

---

启发式检测逻辑很简单：检查

1. named_pipe中的\pipe\spoolss
2. endpoint中的spoolss
3. 操作中的RpcEnumPrinterDrivers或RpcAddPrinterDriverEx

这将生成以下类型的通知： 示例通知：

---

1625227917.821008 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 匹配到 \pipe\spoolss spoolss RpcEnumPrinterDrivers - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - - - - 1625227917.952406 - 192.168.1.149 50070 192.168.1.157 445 - - - tcp CVE_2021_1675::Match CVE-2021-1675 匹配到 \pipe\spoolss spoolss RpcAddPrinterDriverEx - 192.168.1.149 192.168.1.157 445 - - Notice::ACTION_EMAIL,Notice::ACTION_LOG60.000000 - - -