Consider Nizlo indicators in Windows RMM Tool Execution detection

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#4,401 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
65/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
python
Lĩnh vực
security

Hướng nghiên cứu

Đọc detections/endpoint/windows_rmm_tool_execution.yml và xem lại các mã định danh RMM hiện có cùng hướng dẫn về dương tính giả. So sánh các mã định danh công ty và hình ảnh được đề xuất với các nguồn chỉ báo Nizlo được liên kết, sau đó làm theo quy trình thỏa thuận đóng góp và xác thực của repository. Công việc được xem là hoàn tất khi analytic có bản cập nhật mã định danh giới hạn như đã thống nhất và giữ nguyên ranh giới hiện tại đối với dương tính giả.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Suggested narrow update

Would you consider adding Nizlo's current Windows RMM identifiers to detections/endpoint/windows_rmm_tool_execution.yml?

The existing analytic already treats legitimate RMM execution as contextual evidence and warns about normal IT use. Nizlo is legitimate remote monitoring and management software, so a match should retain that same false-positive boundary and should not imply compromise by itself.

Source-backed identifiers:

  • Company: Cloud 84 Holdings, LLC (a bounded match such as Cloud 84 Holdings*)
  • Image: Nizlo.Agent.exe
  • Image: Nizlo.Agent.Updater.exe
  • Image: Nizlo.RemoteBridge.exe

Evidence:

The guide and CSV document the normal install locations and explicitly recommend correlating any hit with signer validity, path, authorization, parent process, command line, and surrounding activity. The current Windows installer is Authenticode-signed by CLOUD 84 HOLDINGS, LLC.

I am affiliated with Nizlo and am proposing this for defensive coverage, not as evidence that Nizlo is malicious. If the maintainers agree the scope belongs in this analytic, I can prepare the minimal YAML/version/date/reference update after satisfying Splunk's contributor-agreement requirement and the repository's validation workflow.

Ngôn ngữ chính
Python
Star
1.7k
Fork
505
Merge trung bình
3 ngày 17 giờ
Pull request đã merge (30 ngày)
39

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của splunk/security_content

Tất cả issue của splunk/security_content

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.