Sicherheitsgeräte und andere Geräte am Netzwerkrand lassen sich nur schwer auf dieselbe Weise überwachen wie herkömmliche Server. Vollständige Endpunkt-Telemetrie ist möglicherweise nicht verfügbar, und Wazuh empfängt möglicherweise hauptsächlich Syslog- oder vom Gerät erzeugte Ereignisse.
Die Quelle definiert daher eine generische Suche nach Angriffscode und Implantaten für Perimeter-Produkte, darunter Fortinet, Ivanti, Cisco, Citrix NetScaler, PAN-OS, SonicWall, VMware und ähnliche Systeme.
Erkennungsabfrage
full_log:("authentication bypass" or "admin login successful" or "super_admin" or "system.admin" or "command injection" or "core dumped" or "segmentation fault" or "integrity check failed" or "root shell" or "web shell" or "reverse shell" or "unauthorized configuration" or "configuration changed")Die Quelle verzeichnete 3,245 passende Ereignisse in den vorangegangenen 30 Tagen.
Was die Abfrage abdeckt
Die Begriffe umfassen mehrere sicherheitsrelevante Kategorien:
Umgehung der Authentifizierung;
erfolgreiche Administratoraktivität;
Änderungen an Administratorobjekten;
Befehlsinjektion;
Abstürze;
Integritätsfehler;
Root-Shells;
Web-Shells;
Reverse Shells;
nicht autorisierte Konfiguration;
allgemeine Konfigurationsänderungen.
Dieser breite Ansatz gleicht die begrenzte Host-Telemetrie aus, die auf vielen Sicherheitsgeräten verfügbar ist.
Warum die Trefferanzahl hoch ist
Mehrere Abfragebegriffe kommen auch in normalen Betriebsprotokollen vor. Admin login successful und configuration changed können beispielsweise völlig legitim sein.
Die Trefferanzahl sollte daher als Datensatz für das Threat Hunting und nicht als Liste von Vorfällen betrachtet werden.
Untersuchung und Priorisierung
Ergebnisse gruppieren nach:
Produkt;
Gerät;
Protokollmeldung;
Administratorkonto;
Quell-IP;
Zeit;
Konfigurationsobjekt.
Seltene Begriffe wie root shell, web shell oder authentication bypass können eine höhere Priorität haben als routinemäßige Anmeldemeldungen von Administratoren.
Korrelationsmöglichkeiten
Kombinieren Sie Protokolle der Sicherheitsgeräte nach Möglichkeit mit:
Firewall-Datenverkehr;
VPN-Authentifizierung;
Identitätsprotokolle;
Konfigurationssicherungen;
Dateiintegritätsinformationen;
interne Endpunkt-Telemetrie.
Ein verdächtiges Ereignis auf einem Gerät am Netzwerkrand, gefolgt von ungewöhnlicher interner Authentifizierung, kann besonders wichtig sein.
Strategie zur Feinabstimmung
Produktspezifische Auswertung kann diese generische Suche erheblich verbessern. Sobald die Umgebung verstanden ist, lässt sich die breite Abfrage in kleinere Erkennungen für jede Gerätefamilie aufteilen.
Bekannte Administratoren, Managementnetzwerke und Änderungsfenster können das Rauschen ebenfalls reduzieren.
Betrieblicher Nutzen
Systeme am Netzwerkrand sind oft direkt nicht vertrauenswürdigen Netzwerken ausgesetzt und bieten möglicherweise weniger Endpunkt-Transparenz als Server.
Eine breit angelegte, Syslog-basierte Suche ist daher ein nützlicher Ausgangspunkt, um verdächtiges administratives oder auf Ausnutzung, Abstürze oder Shells bezogenes Verhalten über mehrere Gerätehersteller hinweg zu identifizieren.
