Consider Nizlo indicators in Windows RMM Tool Execution detection
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
detections/endpoint/windows_rmm_tool_execution.ymlを読み、既存のRMM識別子と誤検知に関するガイダンスを確認してください。提案された企業識別子とイメージ識別子を、リンクされたNizloのインジケーターソースと比較し、その後、リポジトリのコントリビューター同意書と検証のワークフローに従ってください。完了条件は、分析ルールに合意済みの限定的な識別子更新が含まれ、既存の誤検知の境界が維持されていることです。
索引モデルが issue の本文から書いたものです。
説明
Suggested narrow update
Would you consider adding Nizlo's current Windows RMM identifiers to detections/endpoint/windows_rmm_tool_execution.yml?
The existing analytic already treats legitimate RMM execution as contextual evidence and warns about normal IT use. Nizlo is legitimate remote monitoring and management software, so a match should retain that same false-positive boundary and should not imply compromise by itself.
Source-backed identifiers:
Company:Cloud 84 Holdings, LLC(a bounded match such asCloud 84 Holdings*)Image:Nizlo.Agent.exeImage:Nizlo.Agent.Updater.exeImage:Nizlo.RemoteBridge.exe
Evidence:
- Canonical security-indicator guide: https://nizlo.com/guides/nizlo-rmm-security-indicators
- Machine-readable indicator CSV: https://izikipizi.github.io/nizlo-security-indicators/indicators.csv
- Current signed-installer certificate evidence: https://github.com/jkerai1/SoftwareCertificates/tree/main/Remote%20Access%20Tools
- Independent upstream use of the same executable names: https://github.com/CrowdStrike/logscale-community-content/tree/main/Misc/crwd_live_rmm
The guide and CSV document the normal install locations and explicitly recommend correlating any hit with signer validity, path, authorization, parent process, command line, and surrounding activity. The current Windows installer is Authenticode-signed by CLOUD 84 HOLDINGS, LLC.
I am affiliated with Nizlo and am proposing this for defensive coverage, not as evidence that Nizlo is malicious. If the maintainers agree the scope belongs in this analytic, I can prepare the minimal YAML/version/date/reference update after satisfying Splunk's contributor-agreement requirement and the repository's validation workflow.
- 主要言語
- Python
- スター
- 1.7k
- フォーク
- 505
- 平均マージ
- 3日 17時間
- マージ済み PR（30日）
- 39
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
splunk/security_content のほかの issue
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
splunk/security_content#4400 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 4/5 3〜5日 初心者へのやさしさ 42/100
splunk/security_content#4399 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 55/100
splunk/security_content#4393 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 30/100
splunk/security_content#4389 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
[BUG] Windows DisableAntiSpyware Registry" overlaps with and is weaker than "Disable Defender AntiVirus Registry対応中かも @mvanhorn が 3 日前に担当しました。 オープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 45/100
splunk/security_content#4388 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
splunk/security_content の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
RunestoneInteractive/rs#1661 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 64/100
streamlink/streamlink#7192 · コメント 4 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
aws-samples/sample-per-model-bedrock#795 ·
メンテナーはふだん 1 日以内に返信