Administrative Schnittstellen auf Perimeter-Geräten sind sensibel, da eine erfolgreiche Umgehung der Authentifizierung weitreichenden Konfigurationszugriff ermöglichen kann. Die Quelle enthält eine gezielte Hunting-Abfrage für Aktivität zur Umgehung der Authentifizierung über jsconsole bei Fortinet FortiOS und FortiProxy.

Die Abdeckung umfasst CVE-2024-55591 und CVE-2025-24472.

Erkennungsabfrage

full_log:jsconsole and full_log:("Admin login successful" or "Administrator admin logged in successfully" or super_admin or "Add system.admin" or "Object attribute configured")

Die Abfrage sucht nach jsconsole in Kombination mit Indikatoren im Zusammenhang mit:

• erfolgreiche Administratoranmeldung;

• super_admin;

• Erstellung oder Änderung von system.admin;

• Konfiguration von Objektattributen.

Die Quelle verzeichnete 12 passende Ereignisse in den vorangegangenen 30 Tagen.

Warum die Abfrage Kontext erfordert

Die Zeichenfolgen in der Erkennung können auch bei legitimer Administration auftreten. Das Vorhandensein von jsconsole und einem administratorbezogenen Logeintrag sollte daher untersucht und nicht automatisch als Ausnutzung eingestuft werden.

Die Kernfrage ist, ob die Aktivität zu einem genehmigten Administrator, einer Quelladresse, einem Änderungsfenster und einer Konfigurationsaufgabe passt.

Untersuchungsprioritäten

Prüfen Sie für jedes Ereignis:

• Quell-IP;

• Administratorkonto;

• Rechnername des Geräts;

• Zeitstempel der Anmeldung;

• Konfigurationsänderungen;

• neue Administratorkonten;

• Rechteänderungen;

• andere Authentifizierungsfehler oder -erfolge in der Nähe.

Wenn die Aktivität von einer ungewöhnlichen Quelle stammte oder unerwartete Administratoränderungen verursachte, sollte das Ereignis höher priorisiert werden.

Korrelation mit Netzwerk- und Konfigurationstelemetrie

Eine fundierte Untersuchung sollte das Protokoll mit Firewall- oder VPN-Verwaltungsaktivität korrelieren.

Achten Sie auf:

• neu erstellte Administratorobjekte;

• Änderungen an vertrauenswürdigen Hosts;

• Konfigurationsexporte;

• Richtlinienänderungen;

• unerwartete Einstellungen für den Fernzugriff.

Feinabstimmung

Bekannte administrative Automatisierung und genehmigte Managementsysteme können wiederholbare Muster erzeugen. Diese sollten anhand konkreter Quell-IPs und Konten als Baseline erfasst werden.

Vermeiden Sie es, den gesamten jsconsole-Kontext auszuschließen, da genau die unbefugte Nutzung desselben Mechanismus durch die Regel aufgedeckt werden soll.

Betrieblicher Nutzen

Mit nur 12 Treffern im Quellzeitraum liefert diese Abfrage eine überschaubare Prüfmenge.

Sie ist ein gutes Beispiel für eine produktspezifische Suche, die gerätenative Protokolle statt Endpunkt-Prozesstelemetrie nutzt, die auf Sicherheitsgeräten oft nicht verfügbar ist.