2020-06-23
发布时间 2020-06-24新增事件
事件名称: |
HTTP_安全漏洞_Exchange_远程代码执行漏洞[CVE-2020-0688] |
安全类型: |
安全漏洞 |
事件描述: |
检测到源IP主机正在试图通过Exchange邮件服务器远程执行命令漏洞攻击目的IP主机的行为。漏洞原因是Exchange服务器在安装时没有正确创建唯一的加密密钥。导致经过身份验证的攻击者可以通过Exchange默认开启的Web页面登录,发送精心构造的请求,欺骗目标服务器反序列化恶意创建的数据,来达到在目标服务器上以 SYSTEM 身份执行任意.net代码的目的。 |
更新时间: |
20200623 |
修改事件
事件名称: |
HTTP_类菜刀流量_响应 |
安全类型: |
木马后门 |
事件描述: |
中国菜刀是中国黑客圈内使用非常广泛的一款Webshell管理工具。中国菜刀用途十分广泛,支持多种语言,小巧实用,具有文件管理(有足够的权限时候可以管理整个磁盘/文件系统),数据库管理,虚拟终端等功能。对于这类管理工具,如果没有大量的修改服务端脚本代码,其返回流量都会有一些常见的特征,本条规则将常见的共同特征提取出来进行防御性报警。由于此事件为较为宽泛的通用特征,可能存在误报,请参考特征性质判断字段进行判断。 |
更新时间: |
20200623 |
事件名称: |
DNS_木马_可疑矿池域名解析请求 |
安全类型: |
木马后门 |
事件描述: |
检测到木马试图连接远程服务器。源IP所在的主机可能被植入了挖矿木马。 |
更新时间: |
20200623 |
事件名称: |
HTTP_svn敏感文件访问 |
安全类型: |
安全漏洞 |
事件描述: |
检测到源IP主机正在对目的主机进行HTTP_svn敏感文件访问。 Svn是常见的版本控制工具,在错误配置的情况下,svn敏感文件暴露在WEB路径中,通过访问svn文件,黑客可以获取网站源码等信息。 |
更新时间: |
20200623 |
事件名称: |
HTTP_Nexus_Repository_Manager_3远程代码执行漏洞[CVE-2019-7238] |
安全类型: |
安全漏洞 |
事件描述: |
检测到源IP主机正试图通过Nexus Repository Manager 3代码执行漏洞攻击目的IP主机。 Nexus Repository Manager 3由于访问控制不足,攻击者可以利用该缺陷构造特定的请求在服务器上未授权执行Java代码,从而达到远程代码执行的目的。 漏洞存在的版本: Nexus Repository Manager OSS/Pro 3.x - 3.14.0 |
更新时间: |
20200623 |
事件名称: |
HTTP_JBOSS_反序列化_命令执行漏洞[CVE-2017-12149] |
安全类型: |
安全漏洞 |
事件描述: |
检测到源IP主机正在对可能存在漏洞(CVE-2017-12149)的页面实施攻击 影响JBossAS 5.x/6.x 版本。 |
更新时间: |
20200623 |
事件名称: |
TCP_RDP远程桌面登录口令穷举 |
安全类型: |
穷举探测 |
事件描述: |
检测到源IP地址主机正在向目的IP地址主机远程桌面登录口令猜解的行为。 远程桌面连接组件是从Windows 2000 Server开始由微软公司提供的,在WINDOWS 2000 SERVER中他不是默认安装的。该组件一经推出受到了很多用户的拥护和喜好,所以在WINDOWS WINDOWS2003开启方法和XP类似,同样对操作步骤进行了简化。方法如下: 第一步:在桌面“我的电脑”上点鼠标右键,选择“属性”。XP和2003中微软公司将该组件的启用方法进行了改革,我们通过简单的勾选就可以完成在XP和2003下远程桌面连接功能的开启。如果目标主机开启了远程终端服务,默认端口是3389,攻击者通过多次尝试用户名和密码的方式来猜解用户口令,如果被猜中攻击者就可以获得当前用户的所有权限,进而有有可能获得管理员权限。 第二步:在弹出的系统属性窗口中选择“远程”标签。 第三步:在远程标签中找到“远程桌面”,在“容许用户连接到这台计算机”前对勾去掉后确定即可完成远程桌面连接功能的关闭。 口令穷举探测类事件定义为:在源IP地址与目的IP地址相同的情况下,统计单位时间内登录失败的次数,默认为一分钟内登录失败的次数超过20次,就会触发口令穷举事件,该事件的默认动作是阻断源地址。需特别说明的是,若IPS或WAF设备串行部署在启用NAT(Network Address Translation,网络地址转换)的网络环境中,多个真实的源IP可能被转换成一个源IP,极端情况下,多个用户的正常登陆失败尝试也可能会触发口令穷举探测事件,此时可以考虑将该事件的默认响应动作修改为通过,以免影响正常业务。 |
更新时间: |
20200623 |
事件名称: |
HTTP_JACKSON-databind_远程代码执行[CVE-2020-9546/9547/9548] |
安全类型: |
安全漏洞 |
事件描述: |
CMS攻击检测到源IP主机正在利用HTTP_JACKSON-databind_远程代码执行[CVE-2020-9548]攻击目的IP主机的行为。 |
更新时间: |
20200623 |
事件名称: |
TCP_MS_RDP远程桌面_建立低安全性连接 |
安全类型: |
安全审计 |
事件描述: |
检测到目的IP主机已经同意以低于CreedSSP的安全协议与源IP主机的远程桌面进行连接。由于低版本的远程桌面安全性较低,连接可能存在一定安全隐患。 |
更新时间: |
20200623 |