I dispositivi di sicurezza e gli altri dispositivi perimetrali sono difficili da monitorare allo stesso modo dei server tradizionali. La telemetria completa degli endpoint potrebbe non essere disponibile e Wazuh potrebbe ricevere principalmente eventi syslog o generati dal dispositivo.
La fonte definisce quindi una ricerca generica di exploit e impianti per prodotti perimetrali tra cui Fortinet, Ivanti, Cisco, Citrix NetScaler, PAN-OS, SonicWall, VMware e sistemi simili.
Query di rilevamento
full_log:("authentication bypass" or "admin login successful" or "super_admin" or "system.admin" or "command injection" or "core dumped" or "segmentation fault" or "integrity check failed" or "root shell" or "web shell" or "reverse shell" or "unauthorized configuration" or "configuration changed")La fonte ha registrato 3,245 eventi corrispondenti nei 30 giorni precedenti.
Cosa copre la query
I termini coprono diverse categorie rilevanti per la sicurezza:
aggiramento dell'autenticazione;
attività amministrative riuscite;
modifiche agli oggetti amministratore;
iniezione di comandi;
crash;
errori di integrità;
root shell;
web shell;
reverse shell;
configurazione non autorizzata;
modifiche generali di configurazione.
Questo approccio ampio compensa la limitata telemetria degli host disponibile su molti apparati.
Perché il numero di risultati è elevato
Diversi termini della query compaiono anche nei normali log operativi. Admin login successful e configuration changed, ad esempio, possono essere del tutto legittimi.
Il numero di risultati va quindi considerato un dataset per il threat hunting e non un elenco di incidenti.
Indagine e prioritizzazione
Raggruppi i risultati per:
prodotto;
dispositivo;
messaggio di log;
account amministratore;
IP di origine;
orario;
oggetto di configurazione.
Termini rari come root shell, web shell o authentication bypass possono avere priorità maggiore rispetto ai messaggi di routine di accesso degli amministratori.
Opportunità di correlazione
Ove possibile, combini i log degli apparati con:
traffico del firewall;
autenticazione VPN;
log di identità;
backup della configurazione;
informazioni sull'integrità dei file;
telemetria degli endpoint interni.
Un evento sospetto su un apparato perimetrale seguito da un'autenticazione interna insolita può essere particolarmente importante.
Strategia di ottimizzazione
L'analisi sintattica specifica per prodotto può migliorare notevolmente questa ricerca generica. Una volta compreso l'ambiente, la query ampia può essere suddivisa in rilevamenti più piccoli per ciascuna famiglia di apparati.
Anche amministratori noti, reti di gestione e finestre di change possono ridurre il rumore.
Valore operativo
I sistemi perimetrali sono spesso esposti direttamente a reti non attendibili e possono offrire meno visibilità sugli endpoint rispetto ai server.
Una ricerca ampia basata su syslog è quindi un utile punto di partenza per individuare comportamenti sospetti legati ad amministrazione, exploit, crash o shell su apparati di più fornitori.
