Les interfaces d’administration des équipements périmétriques sont sensibles, car un contournement d’authentification réussi peut donner un accès puissant à la configuration. La source inclut une recherche ciblée de l’activité de contournement d’authentification jsconsole sur Fortinet FortiOS et FortiProxy.

La couverture inclut CVE-2024-55591 et CVE-2025-24472.

Requête de détection

full_log:jsconsole and full_log:("Admin login successful" or "Administrator admin logged in successfully" or super_admin or "Add system.admin" or "Object attribute configured")

La requête recherche jsconsole combiné à des indicateurs liés à :

• connexion réussie d'un administrateur ;

• super_admin ;

• la création ou la modification de system.admin ;

• configuration d'attributs d'objets.

La source a enregistré 12 événements correspondants au cours des 30 derniers jours.

Pourquoi la requête nécessite du contexte

Les chaînes de la détection peuvent aussi apparaître lors d’une administration légitime. La présence de jsconsole et d’une entrée de journal liée à un administrateur doit donc être investiguée plutôt que classée automatiquement comme une exploitation.

La question principale est de savoir si l'activité correspond à un administrateur, une adresse source, une fenêtre de changement et une tâche de configuration approuvés.

Priorités d'investigation

Pour chaque événement, examinez :

• IP source ;

• compte administrateur ;

• nom d'hôte de l'appareil ;

• horodatage de la connexion ;

• modifications de configuration ;

• nouveaux comptes administrateur ;

• modifications de privilèges ;

• autres échecs ou réussites d'authentification à proximité.

Si l'activité provenait d'une source inhabituelle ou a produit des modifications d'administrateur inattendues, l'événement doit être traité en priorité.

Corrélation avec la télémétrie réseau et de configuration

Une investigation solide doit corréler le journal avec l'activité de gestion du pare-feu ou du VPN.

Recherchez :

• objets administrateur nouvellement créés ;

• modifications des hôtes de confiance ;

• exportations de configuration ;

• modifications de politiques ;

• paramètres d'accès à distance inattendus.

Réglage

L'automatisation administrative connue et les systèmes de gestion approuvés peuvent produire des schémas reproductibles. Ceux-ci doivent être intégrés à la base de référence à l'aide d'IP sources et de comptes spécifiques.

Évitez d’exclure l’ensemble du contexte jsconsole, car l’utilisation non autorisée de ce même mécanisme est précisément ce que la règle vise à faire ressortir.

Valeur opérationnelle

Avec seulement 12 correspondances sur la période source, cette requête fournit un ensemble de revue gérable.

C'est un bon exemple de recherche spécifique à un produit qui utilise les journaux natifs de l'appareil plutôt que la télémétrie des processus des endpoints, souvent indisponible sur les équipements de sécurité.