Las interfaces administrativas de los dispositivos perimetrales son sensibles porque una evasión de autenticación exitosa puede proporcionar un acceso potente a la configuración. La fuente incluye una búsqueda focalizada de actividad de evasión de autenticación mediante jsconsole en Fortinet FortiOS y FortiProxy.

La cobertura incluye CVE-2024-55591 y CVE-2025-24472.

Consulta de detección

full_log:jsconsole and full_log:("Admin login successful" or "Administrator admin logged in successfully" or super_admin or "Add system.admin" or "Object attribute configured")

La consulta busca jsconsole combinado con indicadores relacionados con:

• inicio de sesión de administrador exitoso;

• super_admin;

• la creación o modificación de system.admin;

• configuración de atributos de objeto.

La fuente registró 12 eventos coincidentes durante los 30 días anteriores.

Por qué la consulta requiere contexto

Las cadenas de la detección también pueden aparecer durante una administración legítima. Por lo tanto, la presencia de jsconsole y una entrada de registro relacionada con un administrador debe investigarse en lugar de clasificarse automáticamente como explotación.

La cuestión principal es si la actividad coincide con un administrador, una dirección de origen, una ventana de cambio y una tarea de configuración aprobados.

Prioridades de investigación

Para cada evento, revise:

• IP de origen;

• cuenta de administrador;

• nombre de host del dispositivo;

• marca de tiempo del inicio de sesión;

• cambios de configuración;

• nuevas cuentas de administrador;

• cambios de privilegios;

• otros fallos o éxitos de autenticación cercanos.

Si la actividad se originó en una fuente inusual o produjo cambios de administrador inesperados, el evento debe recibir mayor prioridad.

Correlación con telemetría de red y de configuración

Una investigación sólida debe correlacionar el registro con la actividad de gestión del cortafuegos o de la VPN.

Busque:

• objetos de administrador recién creados;

• modificaciones de equipos de confianza;

• exportaciones de configuración;

• cambios de políticas;

• configuraciones de acceso remoto inesperadas.

Ajuste

La automatización administrativa conocida y los sistemas de gestión aprobados pueden producir patrones repetibles. Estos deben incluirse en la línea base utilizando IP de origen y cuentas específicas.

Evite excluir todo el contexto de jsconsole, ya que el uso no autorizado de ese mismo mecanismo es exactamente lo que la regla pretende detectar.

Valor operativo

Con solo 12 coincidencias en el período de la fuente, esta consulta proporciona un conjunto de revisión manejable.

Es un buen ejemplo de una búsqueda específica de producto que utiliza registros nativos del dispositivo en lugar de telemetría de procesos de endpoints, que a menudo no está disponible en los dispositivos de seguridad.