[BUG] Windows DisableAntiSpyware Registry" overlaps with and is weaker than "Disable Defender AntiVirus Registry
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 45/100
- issue の種類
- リファクタリング
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 領域
- security
調査の方向性
Compare the two Defender-registry detections named in the table: Disable Defender AntiVirus Registry and Windows DisableAntiSpyware Registry, focusing on value names, value data and the path filter. Before editing, confirm with maintainers whether the non-policy Windows Defender key should be covered, since the issue leaves that open. Done means one detection is kept with the agreed coverage, the other is deprecated, and the repository's detection validation still passes.
索引モデルが issue の本文から書いたものです。
説明
Summary
Both detections alert on Defender being disabled via registry. Disable Defender AntiVirus Registry covers everything the other does under the Defender policy path, with better logic. Running both produces duplicate alerts for the same event and two filter macros to tune.
Comparison
| Disable Defender AntiVirus Registry | Windows DisableAntiSpyware Registry | |
|---|---|---|
| Value names | DisableAntiSpyware, DisableAntiVirus |
DisableAntiSpyware only |
| Value data | IN (1, 0x00000001) |
= "0x00000001" only |
| Path filter | *\Policies\Microsoft\Windows Defender* |
none |
Caveat
The second has no path filter, so it also matches DisableAntiSpyware outside the policy key (e.g. HKLM\SOFTWARE\Microsoft\Windows Defender). If that coverage is wanted, it should be added to the first detection.
Proposal
Deprecate Windows DisableAntiSpyware Registry, optionally extending the first detection's path filter to cover the non-policy key. Happy to open a PR.
- 主要言語
- Python
- スター
- 1.7k
- フォーク
- 505
- 平均マージ
- 3日 10時間
- マージ済み PR（30日）
- 50
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
splunk/security_content のほかの issue
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 55/100
splunk/security_content#4393 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 30/100
splunk/security_content#4389 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
Detection proposal: dMSA (BadSuccessor) abuse via predecessor link without superseded-account linkオープンenhancement
難易度 4/5 3〜5日 初心者へのやさしさ 22/100
splunk/security_content#4384 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
splunk/security_content#4383 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 30/100
splunk/security_content#4382 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
splunk/security_content の issue をすべて見る
似ている issue
-
Server mode OAuth2: 'NoneType' object is not subscriptable on every request after re-submitting the OAuth2 login while already logged in対応中かも @Rarasinhoo が今日担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
pgadmin-org/pgadmin4#10733 ·
メンテナーはふだん 3 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
aws-samples/sample-per-model-bedrock#752 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
int-brain-lab/mpci#32 ·
-
area:docs priority:p2 type:docs
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
jejjohnson/geostack#120 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
sublimelsp/LSP-vue#203 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信