Le interfacce amministrative sui dispositivi perimetrali sono sensibili perché un aggiramento dell’autenticazione riuscito può fornire un potente accesso alla configurazione. La fonte include una ricerca mirata all’attività di aggiramento dell’autenticazione tramite jsconsole su Fortinet FortiOS e FortiProxy.

La copertura include CVE-2024-55591 e CVE-2025-24472.

Query di rilevamento

full_log:jsconsole and full_log:("Admin login successful" or "Administrator admin logged in successfully" or super_admin or "Add system.admin" or "Object attribute configured")

La query cerca jsconsole combinato con indicatori relativi a:

• accesso amministratore riuscito;

• super_admin;

• creazione o modifica di system.admin;

• configurazione degli attributi degli oggetti.

La fonte ha registrato 12 eventi corrispondenti nei 30 giorni precedenti.

Perché la query richiede contesto

Le stringhe presenti nel rilevamento possono comparire anche durante un’amministrazione legittima. La presenza di jsconsole e di una voce di log relativa a un amministratore deve quindi essere indagata, anziché essere classificata automaticamente come sfruttamento.

La domanda principale è se l'attività corrisponda a un amministratore, un indirizzo sorgente, una finestra di change e un'attività di configurazione approvati.

Priorità di indagine

Per ogni evento, verifichi:

• IP di origine;

• account amministratore;

• hostname del dispositivo;

• timestamp dell'accesso;

• modifiche di configurazione;

• nuovi account amministratore;

• modifiche dei privilegi;

• altri fallimenti o successi di autenticazione nelle vicinanze.

Se l'attività ha avuto origine da una fonte insolita o ha prodotto modifiche amministrative inattese, l'evento dovrebbe ricevere priorità più alta.

Correlazione con la telemetria di rete e di configurazione

Un'indagine solida dovrebbe correlare il log con l'attività di gestione del firewall o della VPN.

Cerchi:

• oggetti amministratore appena creati;

• modifiche agli host attendibili;

• esportazioni di configurazione;

• modifiche alle policy;

• impostazioni di accesso remoto inattese.

Ottimizzazione

L'automazione amministrativa nota e i sistemi di gestione approvati possono produrre schemi ripetibili. Questi dovrebbero essere inseriti nella baseline usando IP sorgente e account specifici.

Eviti di escludere l’intero contesto jsconsole, perché l’uso non autorizzato dello stesso meccanismo è esattamente ciò che la regola intende far emergere.

Valore operativo

Con sole 12 corrispondenze nel periodo della fonte, questa query fornisce un insieme di revisione gestibile.

È un buon esempio di ricerca specifica per prodotto che utilizza i log nativi del dispositivo anziché la telemetria dei processi degli endpoint, spesso non disponibile sugli apparati di sicurezza.