Beheerinterfaces op perimeterapparaten zijn gevoelig, omdat een geslaagde authenticatieomzeiling krachtige toegang tot de configuratie kan geven. De bron bevat een gerichte zoekactie naar activiteit gericht op authenticatieomzeiling via jsconsole bij Fortinet FortiOS en FortiProxy.

De dekking omvat CVE-2024-55591 en CVE-2025-24472.

Detectiequery

full_log:jsconsole and full_log:("Admin login successful" or "Administrator admin logged in successfully" or super_admin or "Add system.admin" or "Object attribute configured")

De zoekopdracht zoekt naar jsconsole in combinatie met indicatoren die verband houden met:

• succesvolle beheerdersaanmelding;

• super_admin;

• het aanmaken of wijzigen van system.admin;

• configuratie van objectattributen.

De bron registreerde 12 overeenkomende gebeurtenissen in de afgelopen 30 dagen.

Waarom de zoekopdracht context vereist

De tekenreeksen in de detectie kunnen ook voorkomen bij legitiem beheer. De aanwezigheid van jsconsole en een beheerdergerelateerde logregel moet daarom worden onderzocht in plaats van automatisch als misbruik te worden geclassificeerd.

De hoofdvraag is of de activiteit overeenkomt met een goedgekeurde beheerder, bronadres, wijzigingsvenster en configuratietaak.

Onderzoeksprioriteiten

Controleer voor elke gebeurtenis:

• bron-IP;

• beheerdersaccount;

• hostnaam van het apparaat;

• tijdstempel van de aanmelding;

• configuratiewijzigingen;

• nieuwe beheerdersaccounts;

• privilegewijzigingen;

• andere authenticatiefouten of -successen in de buurt.

Als de activiteit afkomstig was van een ongebruikelijke bron of onverwachte beheerderswijzigingen veroorzaakte, moet de gebeurtenis een hogere prioriteit krijgen.

Correlatie met netwerk- en configuratietelemetrie

Een gedegen onderzoek moet de log correleren met firewall- of VPN-beheeractiviteit.

Zoek naar:

• nieuw aangemaakte beheerdersobjecten;

• wijzigingen aan vertrouwde hosts;

• configuratie-exporten;

• beleidswijzigingen;

• onverwachte instellingen voor toegang op afstand.

Afstemming

Bekende beheerautomatisering en goedgekeurde beheersystemen kunnen herhaalbare patronen opleveren. Deze moeten worden vastgelegd in een baseline aan de hand van specifieke bron-IP's en accounts.

Vermijd het uitsluiten van de volledige jsconsole-context, omdat juist onbevoegd gebruik van hetzelfde mechanisme is wat de regel aan het licht moet brengen.

Operationele waarde

Met slechts 12 treffers in de bronperiode levert deze zoekopdracht een beheersbare set om te beoordelen.

Het is een goed voorbeeld van een productspecifieke zoekactie die gebruikmaakt van apparaateigen logs in plaats van procestelemetrie van endpoints, die op beveiligingsapparaten vaak niet beschikbaar is.