Beveiligingsapparaten en andere apparaten aan de netwerkrand zijn moeilijk op dezelfde manier te bewaken als traditionele servers. Volledige endpointtelemetrie is mogelijk niet beschikbaar en Wazuh ontvangt mogelijk vooral syslog- of door het apparaat gegenereerde gebeurtenissen.
De bron definieert daarom een generieke exploit- en implantjacht voor perimeterproducten, waaronder Fortinet, Ivanti, Cisco, Citrix NetScaler, PAN-OS, SonicWall, VMware en vergelijkbare systemen.
Detectiequery
full_log:("authentication bypass" or "admin login successful" or "super_admin" or "system.admin" or "command injection" or "core dumped" or "segmentation fault" or "integrity check failed" or "root shell" or "web shell" or "reverse shell" or "unauthorized configuration" or "configuration changed")De bron registreerde 3,245 overeenkomende gebeurtenissen in de afgelopen 30 dagen.
Wat de zoekopdracht dekt
De termen omvatten meerdere beveiligingsrelevante categorieën:
omzeiling van authenticatie;
succesvolle beheerdersactiviteit;
wijzigingen aan beheerdersobjecten;
commando-injectie;
crashes;
integriteitsfouten;
rootshells;
webshells;
reverse shells;
ongeautoriseerde configuratie;
algemene configuratiewijzigingen.
Deze brede aanpak compenseert de beperkte host-telemetrie die op veel apparaten beschikbaar is.
Waarom het aantal resultaten hoog is
Verschillende zoektermen komen ook voor in normale operationele logs. Admin login successful en configuration changed kunnen bijvoorbeeld volledig legitiem zijn.
Het aantal resultaten moet daarom worden gezien als een dataset voor threat hunting en niet als een lijst van incidenten.
Onderzoek en prioritering
Groepeer resultaten op:
product;
apparaat;
logbericht;
beheerdersaccount;
bron-IP;
tijd;
configuratieobject.
Zeldzame termen zoals root shell, webshell of authenticatieomzeiling kunnen een hogere prioriteit hebben dan routinematige aanmeldberichten van beheerders.
Correlatiemogelijkheden
Combineer waar mogelijk apparaatlogs met:
firewallverkeer;
VPN-authenticatie;
identiteitslogs;
configuratieback-ups;
bestandsintegriteitsinformatie;
interne endpointtelemetrie.
Een verdachte gebeurtenis op een apparaat aan de netwerkrand, gevolgd door ongebruikelijke interne authenticatie, kan bijzonder belangrijk zijn.
Afstemmingsstrategie
Productspecifieke ontleding kan deze generieke zoekactie sterk verbeteren. Zodra de omgeving begrepen is, kan de brede zoekopdracht worden opgesplitst in kleinere detecties per apparaatfamilie.
Bekende beheerders, beheernetwerken en wijzigingsvensters kunnen de ruis ook verminderen.
Operationele waarde
Systemen aan de netwerkrand zijn vaak rechtstreeks blootgesteld aan niet-vertrouwde netwerken en bieden mogelijk minder endpointzichtbaarheid dan servers.
Een brede, op syslog gebaseerde zoekactie is daarom een nuttig startpunt om verdacht beheers-, exploit-, crash- of shellgerelateerd gedrag bij meerdere apparaatleveranciers te identificeren.
