Crowdsec Scenarios die Parsers und Acquis

[nitje]

Update für UniFi Network 9.5.21 -> ob das Alte weiterhin geht kann ich nicht Testen da der Zusätzlicher Container  "unifi_sylog" auch ein Update benötigt.




Es sind zwei Text Dateien enthalten, für die Änderungen in Acquis und docker-compose_crowdsec.yaml.

Ein Paket mit Änderungen im Anhang.



Praxisbeispiel:
Siehe Bilder und hier ist die Zeile aus dem Syslog auf was Reagiert wurde:

Code:

2026-02-18T07:30:30+00:00 unifi CEF: 0|Ubiquiti|UniFi Network|9.5.21|201|Threat Detected and Blocked|7|proto=TCP src=65.49.1.152 spt=31392 dst=192.168.10.242 dpt=80 UNIFIcategory=Security UNIFIsubCategory=Intrusion Prevention UNIFIhost=unifi UNIFIsite=default UNIFIdeviceMac=9c:05:d6:6d:d1:f1 UNIFIdeviceName=Gateway Max UNIFIdeviceModel=Gateway Max UNIFIdeviceIp=192.168.10.1 UNIFIdeviceVersion=4.3.1 UNIFIrisk=medium UNIFIipsSessionId=11874975625556 UNIFIipsSignature=ET DROP Dshield Block Listed Source group 1 UNIFIipsSignatureId=2402000 UNIFIutcTime=2026-02-18T06:30:30.835Z msg=A network intrusion attempt from 65.49.1.152 to 02:42:c0:a8:0a:f2 has been detected and blocked.

und diese:

Code:

2026-02-18T07:30:30+00:00 unifi CEF: 0|Ubiquiti|UniFi Network|9.5.21|201|Threat Detected and Blocked|9|proto=TCP src=192.168.10.20 spt=27923 dst=45.56.90.99 dpt=80 UNIFIcategory=Security UNIFIsubCategory=Intrusion Prevention UNIFIhost=unifi UNIFIsite=default UNIFIdeviceMac=9c:05:d6:6d:d1:f1 UNIFIdeviceName=Gateway Max UNIFIdeviceModel=Gateway Max UNIFIdeviceIp=192.168.10.1 UNIFIdeviceVersion=4.3.1 UNIFIrisk=high UNIFIipsSessionId=790026415351837 UNIFIipsSignature=ET MALWARE Generic Dropper Installing PUP 1 UNIFIipsSignatureId=2021101 UNIFIutcTime=2026-02-18T06:30:30.843Z msg=A network intrusion attempt from i9x64 to 45.56.90.99 has been detected and blocked.