Los dispositivos de seguridad y otros dispositivos perimetrales son difíciles de monitorizar del mismo modo que los servidores tradicionales. Es posible que no haya telemetría completa de endpoints y que Wazuh reciba principalmente eventos syslog o generados por el propio dispositivo.
Por tanto, la fuente define una búsqueda genérica de exploits e implantes para productos perimetrales como Fortinet, Ivanti, Cisco, Citrix NetScaler, PAN-OS, SonicWall, VMware y sistemas similares.
Consulta de detección
full_log:("authentication bypass" or "admin login successful" or "super_admin" or "system.admin" or "command injection" or "core dumped" or "segmentation fault" or "integrity check failed" or "root shell" or "web shell" or "reverse shell" or "unauthorized configuration" or "configuration changed")La fuente registró 3,245 eventos coincidentes durante los 30 días anteriores.
Qué cubre la consulta
Los términos abarcan varias categorías relevantes para la seguridad:
omisión de autenticación;
actividad de administrador exitosa;
cambios en objetos de administrador;
inyección de comandos;
bloqueos;
fallos de integridad;
shells root;
web shells;
reverse shells;
configuración no autorizada;
cambios generales de configuración.
Este enfoque amplio compensa la limitada telemetría de equipo disponible en muchos dispositivos.
Por qué el número de resultados es alto
Varios términos de la consulta también aparecen en registros operativos normales. Admin login successful y configuration changed, por ejemplo, pueden ser completamente legítimos.
Por lo tanto, el número de resultados debe considerarse un conjunto de datos de búsqueda de amenazas, no una lista de incidentes.
Investigación y priorización
Agrupe los resultados por:
producto;
dispositivo;
mensaje de registro;
cuenta de administrador;
IP de origen;
hora;
objeto de configuración.
Términos poco frecuentes como root shell, web shell o authentication bypass pueden tener mayor prioridad que los mensajes rutinarios de inicio de sesión de administradores.
Oportunidades de correlación
Siempre que sea posible, combine los registros de los appliances con:
tráfico de cortafuegos;
autenticación VPN;
registros de identidad;
copias de seguridad de configuración;
información de integridad de archivos;
telemetría de endpoints internos.
Un evento sospechoso en un dispositivo perimetral seguido de una autenticación interna inusual puede ser especialmente importante.
Estrategia de ajuste
El análisis sintáctico específico de cada producto puede mejorar considerablemente esta búsqueda genérica. Una vez comprendido el entorno, la consulta amplia puede dividirse en detecciones más pequeñas para cada familia de dispositivos.
Los administradores conocidos, las redes de gestión y las ventanas de cambio también pueden reducir el ruido.
Valor operativo
Los sistemas perimetrales suelen estar expuestos directamente a redes no confiables y pueden tener menos visibilidad de endpoint que los servidores.
Por ello, una búsqueda amplia basada en syslog es un punto de partida útil para identificar comportamientos sospechosos relacionados con administración, exploits, bloqueos o shells en múltiples fabricantes de appliances.
