============================================================================== CISA SUMA A SU CATÁLOGO KEV FALLAS ACTIVAS EN FORTINET Y BEYONDTRUST ============================================================================== Fuente: https://www.vantis.cl/noticias/cisa-kev-fortinet-beyondtrust-explotacion-activa Publicado: 2026-10-20 (hora de Chile) Ambito: chile · Criticidad: alta Descargado: 2026-10-20 19:18 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de eventos y VPN SSL de FortiGate/FortiOS (event log, SSL-VPN log) · Logs de proxy/WAF frente a portales de administración expuestos · Logs de autenticación y sesión de BeyondTrust Remote Support (audit log) · Netflow o logs de firewall de conexiones salientes desde dispositivos Fortinet ============================================================================== REGLA 1 de 5 · SIGMA (canonica, neutral) Posible path traversal contra portal de administración o SSL-VPN Fortinet ============================================================================== Requiere: Logs HTTP(S) del proxy/WAF o del propio FortiGate (event log de administración/webfilter) con el URI completo de la petición. title: Posible path traversal contra portal Fortinet id: 7c3e9f12-4b6a-4d8e-9a1f-2d5c8e7b3a60 status: experimental description: Detecta secuencias de path traversal en peticiones HTTP dirigidas a interfaces de administración o VPN SSL de Fortinet, patrón asociado a la explotación de CVE-2025-61624. references: - https://www.cve.org/CVERecord?id=CVE-2025-61624 logsource: category: proxy detection: selection: cs-uri-query|contains: - '../' - '..%2f' - '%2e%2e/' - '..\\' condition: selection fields: - src_ip - dest_ip - cs-uri-query - http_user_agent falsepositives: - Escaneos de vulnerabilidades autorizados - Pruebas de pentesting interno programadas level: high ============================================================================== REGLA 2 de 5 · MICROSOFT SENTINEL - KQL Path traversal en tráfico Fortinet (CommonSecurityLog) ============================================================================== Requiere: Conector de datos de Fortinet hacia Microsoft Sentinel, alimentando la tabla CommonSecurityLog. CommonSecurityLog | where DeviceVendor == "Fortinet" | where isnotempty(RequestURL) | where RequestURL has_any ("../", "..%2f", "%2e%2e/") | project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceAction, DeviceName ============================================================================== REGLA 3 de 5 · SPLUNK - SPL Path traversal en tráfico Fortinet ============================================================================== Requiere: Índice con logs de tráfico/administración de FortiGate (sourcetype fortigate_traffic o equivalente) con el campo uri completo. index=proxy OR index=fortinet sourcetype=fortigate_traffic | search uri="*../*" OR uri="*%2e%2e%2f*" OR uri="*..%2f*" | table _time src_ip dest_ip uri action ============================================================================== REGLA 4 de 5 · SIGMA (canonica, neutral) Creación de cuenta con privilegios elevados en BeyondTrust Remote Support fuera de cambio autorizado ============================================================================== Requiere: Audit log de BeyondTrust Remote Support con eventos de administración de cuentas habilitado y exportado al SIEM. title: Creacion de cuenta privilegiada en BeyondTrust Remote Support id: 9f1a3c5e-6d2b-4e9f-8c7a-3b5d9e2f1a84 status: experimental description: Detecta eventos de creacion o escalamiento de cuentas con privilegios administrativos en BeyondTrust Remote Support, patron relevante tras la explotacion de CVE-2026-102764. references: - https://www.cve.org/CVERecord?id=CVE-2026-102764 logsource: category: application product: beyondtrust service: remote-support detection: selection: EventType: 'PrivilegedAccountCreated' condition: selection fields: - UserName - SourceIP - EventType falsepositives: - Cambios autorizados de administracion de la consola - Onboarding legitimo de nuevos tecnicos de soporte level: medium ============================================================================== REGLA 5 de 5 · IBM QRADAR - AQL Creación de cuenta privilegiada anómala en BeyondTrust Remote Support ============================================================================== Requiere: Log source de BeyondTrust configurado en QRadar (DSM genérico o custom) recibiendo eventos de administración de cuentas. SELECT UserName, SourceIP, EventType, DATEFORMAT(startTime, 'YYYY-MM-dd HH:mm:ss') AS Hora FROM events WHERE LOGSOURCETYPENAME(devicetype) ILIKE '%BeyondTrust%' AND EventType ILIKE '%Privileged%Account%Created%' LAST 24 HOURS ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla de path traversal puede activarse con escáneres de vulnerabilidades autorizados y pruebas de pentesting interno: correlacione por horario y origen antes de escalar. La regla de BeyondTrust puede activarse con onboarding legítimo de técnicos o cambios de administración programados: valide contra el ticket de cambio antes de tratarla como incidente. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================