Consider Nizlo indicators in Windows RMM Tool Execution detection
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
调研方向
阅读 detections/endpoint/windows_rmm_tool_execution.yml，并检查现有的 RMM 标识符和误报指导。将提议的公司和映像标识符与链接的 Nizlo 指标来源进行比较，然后遵循仓库的贡献者协议和验证工作流程。完成标准是分析规则包含已商定的有限标识符更新，并保留现有的误报边界。
由索引模型根据 Issue 内容生成。
描述
Suggested narrow update
Would you consider adding Nizlo's current Windows RMM identifiers to detections/endpoint/windows_rmm_tool_execution.yml?
The existing analytic already treats legitimate RMM execution as contextual evidence and warns about normal IT use. Nizlo is legitimate remote monitoring and management software, so a match should retain that same false-positive boundary and should not imply compromise by itself.
Source-backed identifiers:
Company:Cloud 84 Holdings, LLC(a bounded match such asCloud 84 Holdings*)Image:Nizlo.Agent.exeImage:Nizlo.Agent.Updater.exeImage:Nizlo.RemoteBridge.exe
Evidence:
- Canonical security-indicator guide: https://nizlo.com/guides/nizlo-rmm-security-indicators
- Machine-readable indicator CSV: https://izikipizi.github.io/nizlo-security-indicators/indicators.csv
- Current signed-installer certificate evidence: https://github.com/jkerai1/SoftwareCertificates/tree/main/Remote%20Access%20Tools
- Independent upstream use of the same executable names: https://github.com/CrowdStrike/logscale-community-content/tree/main/Misc/crwd_live_rmm
The guide and CSV document the normal install locations and explicitly recommend correlating any hit with signer validity, path, authorization, parent process, command line, and surrounding activity. The current Windows installer is Authenticode-signed by CLOUD 84 HOLDINGS, LLC.
I am affiliated with Nizlo and am proposing this for defensive coverage, not as evidence that Nizlo is malicious. If the maintainers agree the scope belongs in this analytic, I can prepare the minimal YAML/version/date/reference update after satisfying Splunk's contributor-agreement requirement and the repository's validation workflow.
- 主要语言
- Python
- 星标
- 1.7k
- 派生
- 505
- 平均合并
- 3 天 17 小时
- 30 天内合并 PR
- 39
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
splunk/security_content 的其他 Issue
-
enhancement
难度 2/5 1-3 小时 新手友好度 72/100
splunk/security_content#4400 ·
维护者通常 1 天内回复
-
bug
难度 4/5 3-5 天 新手友好度 42/100
splunk/security_content#4399 ·
维护者通常 1 天内回复
-
enhancement
难度 4/5 3-5 天 新手友好度 55/100
splunk/security_content#4393 · 2 条评论 ·
维护者通常 1 天内回复
-
enhancement
难度 4/5 3-5 天 新手友好度 30/100
splunk/security_content#4389 · 1 条评论 ·
维护者通常 1 天内回复
-
[BUG] Windows DisableAntiSpyware Registry" overlaps with and is weaker than "Disable Defender AntiVirus Registry可能已有人在做 @mvanhorn 于 3 天前认领。 未关闭bug
难度 2/5 1-3 小时 新手友好度 45/100
splunk/security_content#4388 · 1 条评论 ·
维护者通常 1 天内回复
查看 splunk/security_content 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 74/100
-
enhancement
难度 2/5 1-3 小时 新手友好度 66/100
RunestoneInteractive/rs#1661 ·
维护者通常 2 天内回复
-
难度 2/5 1-3 小时 新手友好度 64/100
streamlink/streamlink#7192 · 4 条评论 ·
维护者通常 1 天内回复
-
难度 1/5 1-3 小时 新手友好度 75/100
维护者通常 2 天内回复
-
难度 2/5 1-3 小时 新手友好度 82/100
aws-samples/sample-per-model-bedrock#795 ·
维护者通常 1 天内回复