[BUG] Windows DisableAntiSpyware Registry" overlaps with and is weaker than "Disable Defender AntiVirus Registry

Đang mở
  • Có gì không ổn?
#4,388 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@mvanhorn đang làm issue này rồi.

Từ ngày 4/11/2026.

  • #4398 của @mvanhorn — đang mở

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
45/100
Loại issue
Tái cấu trúc
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Lĩnh vực
security

Hướng nghiên cứu

Compare the two Defender-registry detections named in the table: Disable Defender AntiVirus Registry and Windows DisableAntiSpyware Registry, focusing on value names, value data and the path filter. Before editing, confirm with maintainers whether the non-policy Windows Defender key should be covered, since the issue leaves that open. Done means one detection is kept with the agreed coverage, the other is deprecated, and the repository's detection validation still passes.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug
Summary

Both detections alert on Defender being disabled via registry. Disable Defender AntiVirus Registry covers everything the other does under the Defender policy path, with better logic. Running both produces duplicate alerts for the same event and two filter macros to tune.

Comparison
Disable Defender AntiVirus Registry Windows DisableAntiSpyware Registry
Value names DisableAntiSpyware, DisableAntiVirus DisableAntiSpyware only
Value data IN (1, 0x00000001) = "0x00000001" only
Path filter *\Policies\Microsoft\Windows Defender* none
Caveat

The second has no path filter, so it also matches DisableAntiSpyware outside the policy key (e.g. HKLM\SOFTWARE\Microsoft\Windows Defender). If that coverage is wanted, it should be added to the first detection.

Proposal

Deprecate Windows DisableAntiSpyware Registry, optionally extending the first detection's path filter to cover the non-policy key. Happy to open a PR.

Ngôn ngữ chính
Python
Star
1.7k
Fork
505
Merge trung bình
3 ngày 17 giờ
Pull request đã merge (30 ngày)
39

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của splunk/security_content

Tất cả issue của splunk/security_content

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.