Les équipements de sécurité et autres appareils de périmètre sont difficiles à surveiller de la même manière que les serveurs traditionnels. La télémétrie complète des endpoints peut ne pas être disponible, et Wazuh peut recevoir principalement des événements syslog ou générés par l'appareil.
La source définit donc une recherche générique d'exploits et d'implants pour les produits de périmètre, notamment Fortinet, Ivanti, Cisco, Citrix NetScaler, PAN-OS, SonicWall, VMware et systèmes similaires.
Requête de détection
full_log:("authentication bypass" or "admin login successful" or "super_admin" or "system.admin" or "command injection" or "core dumped" or "segmentation fault" or "integrity check failed" or "root shell" or "web shell" or "reverse shell" or "unauthorized configuration" or "configuration changed")La source a enregistré 3,245 événements correspondants au cours des 30 derniers jours.
Ce que couvre la requête
Les termes couvrent plusieurs catégories pertinentes pour la sécurité :
contournement de l'authentification ;
activité administrateur réussie ;
modifications d'objets administrateur ;
injection de commandes ;
plantages ;
échecs d'intégrité ;
shells root ;
web shells ;
reverse shells ;
configuration non autorisée ;
modifications générales de configuration.
Cette approche large compense la télémétrie d'hôte limitée disponible sur de nombreux équipements.
Pourquoi le nombre de résultats est élevé
Plusieurs termes de la requête apparaissent également dans les journaux opérationnels normaux. Admin login successful et configuration changed, par exemple, peuvent être tout à fait légitimes.
Le nombre de résultats doit donc être considéré comme un jeu de données de chasse plutôt que comme une liste d'incidents.
Investigation et priorisation
Regroupez les résultats par :
produit ;
appareil ;
message de journal ;
compte administrateur ;
IP source ;
heure ;
objet de configuration.
Des termes rares tels que root shell, web shell ou authentication bypass peuvent être plus prioritaires que les messages habituels de connexion d’administrateur.
Possibilités de corrélation
Dans la mesure du possible, combinez les journaux des appliances avec :
trafic du pare-feu ;
authentification VPN ;
journaux d'identité ;
sauvegardes de configuration ;
informations d'intégrité des fichiers ;
télémétrie des endpoints internes.
Un événement suspect sur un équipement périphérique suivi d'une authentification interne inhabituelle peut être particulièrement important.
Stratégie de réglage
Une analyse syntaxique spécifique à chaque produit peut grandement améliorer cette recherche générique. Une fois l'environnement compris, la requête large peut être scindée en détections plus petites pour chaque famille d'appliances.
Les administrateurs connus, les réseaux de gestion et les fenêtres de changement peuvent également réduire le bruit.
Valeur opérationnelle
Les systèmes périphériques sont souvent directement exposés à des réseaux non fiables et peuvent offrir moins de visibilité sur les endpoints que les serveurs.
Une recherche large basée sur syslog constitue donc un point de départ utile pour identifier des comportements suspects liés à l'administration, à des exploits, à des plantages ou à des shells sur plusieurs fabricants d'appliances.
