Interfețele administrative de pe dispozitivele de perimetru sunt sensibile deoarece o ocolire reușită a autentificării poate oferi un acces puternic la configurație. Sursa include o căutare focalizată pentru activitatea de ocolire a autentificării prin jsconsole în Fortinet FortiOS și FortiProxy.
Acoperirea include CVE-2024-55591 și CVE-2025-24472.
Interogarea de detecție
full_log:jsconsole and full_log:("Admin login successful" or "Administrator admin logged in successfully" or super_admin or "Add system.admin" or "Object attribute configured")Interogarea caută jsconsole combinat cu indicatori legați de:
autentificarea reușită a administratorului;
super_admin;crearea sau modificarea
system.admin;configurarea atributelor de obiect.
Sursa a înregistrat 12 evenimente potrivite în ultimele 30 de zile.
De ce interogarea necesită context
Șirurile din detecție pot apărea și în timpul administrării legitime. Prezența jsconsole și a unei intrări de jurnal legate de administrator ar trebui, prin urmare, investigată, mai degrabă decât clasificată automat ca exploatare.
Întrebarea principală este dacă activitatea corespunde unui administrator aprobat, unei adrese sursă, unei ferestre de modificare și unei sarcini de configurare aprobate.
Priorități de investigație
Pentru fiecare eveniment, examinați:
adresa IP sursă;
contul de administrator;
numele de gazdă al dispozitivului;
momentul autentificării;
modificările de configurație;
conturile de administrator noi;
modificările de privilegii;
alte eșecuri sau reușite de autentificare din apropiere.
Dacă activitatea a provenit dintr-o sursă neobișnuită sau a produs modificări neașteptate de administrator, evenimentul ar trebui să primească o prioritate mai mare.
Corelarea cu telemetria de rețea și de configurație
O investigație solidă ar trebui să coreleze jurnalul cu activitatea de management a firewall-ului sau VPN-ului.
Căutați:
obiecte de administrator nou create;
modificări ale gazdelor de încredere;
exporturi de configurație;
modificări de politici;
setări de acces la distanță neașteptate.
Reglarea
Automatizarea administrativă cunoscută și sistemele de management aprobate pot produce tipare repetabile. Acestea ar trebui incluse în profilul de referință folosind adrese IP sursă și conturi specifice.
Evitați excluderea întregului context jsconsole, deoarece utilizarea neautorizată a aceluiași mecanism este exact ceea ce regula este menită să scoată la iveală.
Valoarea operațională
Cu doar 12 potriviri în perioada sursei, această interogare oferă un set de analiză gestionabil.
Este un bun exemplu de căutare specifică unui produs care folosește jurnalele native ale dispozitivului, mai degrabă decât telemetria proceselor de la nivelul endpoint-ului, care adesea nu este disponibilă pe echipamentele de securitate.
