Echipamentele de securitate și alte dispozitive de tip edge sunt greu de monitorizat în același mod ca serverele tradiționale. Este posibil ca telemetria completă de endpoint să nu fie disponibilă, iar Wazuh să primească în principal evenimente syslog sau generate de dispozitiv.
De aceea, sursa definește o vânătoare generică de exploit-uri și implanturi pentru produsele de perimetru, printre care Fortinet, Ivanti, Cisco, Citrix NetScaler, PAN-OS, SonicWall, VMware și sisteme similare.
Interogare de detecție
full_log:("authentication bypass" or "admin login successful" or "super_admin" or "system.admin" or "command injection" or "core dumped" or "segmentation fault" or "integrity check failed" or "root shell" or "web shell" or "reverse shell" or "unauthorized configuration" or "configuration changed")Sursa a înregistrat 3.245 de evenimente potrivite în ultimele 30 de zile.
Ce acoperă interogarea
Termenii acoperă mai multe categorii relevante pentru securitate:
ocolirea autentificării;
activitate reușită de administrator;
modificări ale obiectelor de administrator;
injecție de comenzi;
crash-uri;
eșecuri de integritate;
shell-uri root;
web shell-uri;
reverse shell-uri;
configurație neautorizată;
modificări generale de configurație.
Această abordare largă compensează telemetria limitată de gazdă disponibilă pe multe echipamente.
De ce este ridicat numărul de rezultate
Mai mulți termeni din interogare apar și în jurnalele operaționale normale. Admin login successful și configuration changed, de exemplu, pot fi complet legitimi.
De aceea, numărul de rezultate ar trebui considerat un set de date pentru vânătoare, mai degrabă decât o listă de incidente.
Investigare și prioritizare
Grupați rezultatele după:
produs;
dispozitiv;
mesajul din jurnal;
contul de administrator;
adresa IP sursă;
moment;
obiectul de configurație.
Termenii rari, precum root shell, web shell sau authentication bypass, pot avea o prioritate mai mare decât mesajele de rutină privind autentificarea administratorului.
Oportunități de corelare
Acolo unde este posibil, combinați jurnalele echipamentelor cu:
traficul de firewall;
autentificarea VPN;
jurnalele de identitate;
backup-urile de configurație;
informațiile de integritate a fișierelor;
telemetria internă de endpoint.
Un eveniment suspect pe un dispozitiv de tip edge urmat de o autentificare internă neobișnuită poate fi deosebit de important.
Strategie de ajustare
Parsarea specifică fiecărui produs poate îmbunătăți semnificativ această vânătoare generică. Odată ce mediul este înțeles, interogarea largă poate fi împărțită în detecții mai mici pentru fiecare familie de echipamente.
Administratorii cunoscuți, rețelele de management și ferestrele de schimbare pot reduce, de asemenea, zgomotul.
Valoare operațională
Sistemele de tip edge sunt adesea expuse direct rețelelor neîncrezute și pot avea o vizibilitate de endpoint mai redusă decât serverele.
De aceea, o vânătoare largă bazată pe syslog este un punct de plecare util pentru identificarea comportamentelor suspecte de tip administrativ, de exploit, de crash sau de shell la nivelul mai multor furnizori de echipamente.
