[BUG] Windows DisableAntiSpyware Registry" overlaps with and is weaker than "Disable Defender AntiVirus Registry
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 45/100
- Tipo de issue
- Refactorización
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Área
- security
Línea de trabajo
Compare the two Defender-registry detections named in the table: Disable Defender AntiVirus Registry and Windows DisableAntiSpyware Registry, focusing on value names, value data and the path filter. Before editing, confirm with maintainers whether the non-policy Windows Defender key should be covered, since the issue leaves that open. Done means one detection is kept with the agreed coverage, the other is deprecated, and the repository's detection validation still passes.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
Both detections alert on Defender being disabled via registry. Disable Defender AntiVirus Registry covers everything the other does under the Defender policy path, with better logic. Running both produces duplicate alerts for the same event and two filter macros to tune.
Comparison
| Disable Defender AntiVirus Registry | Windows DisableAntiSpyware Registry | |
|---|---|---|
| Value names | DisableAntiSpyware, DisableAntiVirus |
DisableAntiSpyware only |
| Value data | IN (1, 0x00000001) |
= "0x00000001" only |
| Path filter | *\Policies\Microsoft\Windows Defender* |
none |
Caveat
The second has no path filter, so it also matches DisableAntiSpyware outside the policy key (e.g. HKLM\SOFTWARE\Microsoft\Windows Defender). If that coverage is wanted, it should be added to the first detection.
Proposal
Deprecate Windows DisableAntiSpyware Registry, optionally extending the first detection's path filter to cover the non-policy key. Happy to open a PR.
- Lenguaje dominante
- Python
- Estrellas
- 1.7k
- Forks
- 503
- Merge medio
- 2 d 11 h
- PR fusionados (30 d)
- 43
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de splunk/security_content
-
enhancement
Dificultad 4/5 3-5 días Aptitud para principiantes 30/100
splunk/security_content#4389 ·
Los mantenedores suelen responder en 1 día
-
Detection proposal: dMSA (BadSuccessor) abuse via predecessor link without superseded-account linkAbiertoenhancement
Dificultad 4/5 3-5 días Aptitud para principiantes 22/100
splunk/security_content#4384 ·
Los mantenedores suelen responder en 1 día
-
enhancement
Dificultad 3/5 1-2 días Aptitud para principiantes 45/100
splunk/security_content#4383 ·
Los mantenedores suelen responder en 1 día
-
enhancement
Dificultad 4/5 3-5 días Aptitud para principiantes 30/100
splunk/security_content#4382 ·
Los mantenedores suelen responder en 1 día
-
Splunk Add-on for Sysmon for Linux is archived on SplunkbaseQuizá libre de nuevo @nasbench la tomó hace 32 días y no hay ningún pull request abierto. Abierto
splunk/security_content#4306 · 1 comentario · 1 asignado ·
Los mantenedores suelen responder en 1 día
Todos los issues de splunk/security_content
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día
-
enhancement good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
elviskahoro/sdk-python-attio#144 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
Los mantenedores suelen responder en 1 día
-
RenyiELBO raises TypeError when model has no sample sitesPosiblemente ocupada @alibb007 la tomó hoy. Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100
Los mantenedores suelen responder en 1 día
-
[Bug]: Four evaluation scripts unpack init_memmachine_params's five return values into three namesAbierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 88/100
MemMachine/MemMachine#1911 ·
Los mantenedores suelen responder en 3 días