==============================================================================
  CISA CONFIRMA EXPLOTACIÓN ACTIVA DE BYPASS EN IVANTI CONNECT SECURE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisa-kev-ivanti-connect-secure-bypass-autenticacion
  Publicado:   2026-10-16  (hora de Chile)
  Ambito:      global   ·   Criticidad: critica
  Descargado:  2026-10-20 19:18  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de autenticación de Ivanti Connect Secure (syslog del appliance)
  · Firewall/proxy perimetral con tráfico hacia la interfaz de administración del VPN
  · DeviceNetworkEvents / Sysmon en estaciones Windows para CVE-2026-96951
  · WAF frente al portal VPN, si existe

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Acceso repetido a rutas de administración de Ivanti Connect Secure sin sesión previa válida (experimental)
==============================================================================
  Requiere: Logs de acceso web del equipo Ivanti Connect Secure exportados al SIEM, categoría proxy/webserver. Ajustar filter_known_admin con los rangos de IP de administración legítimos de la organización.

title: Possible Ivanti Connect Secure Auth Bypass Probing
status: experimental
logsource:
    category: proxy
    product: ivanti_connect_secure
detection:
    selection:
        cs-uri-path|contains:
            - '/dana-na/'
            - '/dana-ws/'
            - '/dana-admin/'
        sc-status: 200
    filter_known_admin:
        c-ip|cidr: '0.0.0.0/0'
    condition: selection and not filter_known_admin
fields:
    - c-ip
    - cs-uri-path
    - sc-status
    - time-taken
falsepositives:
    - Accesos administrativos legítimos desde IPs no incluidas en la lista blanca
    - Escaneos de vulnerabilidad autorizados
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Accesos anómalos a interfaz de administración VPN desde IP externas
==============================================================================
  Requiere: Ingesta de logs de Ivanti Connect Secure vía CommonSecurityLog (CEF) o conector de syslog hacia Sentinel.

CommonSecurityLog
| where DeviceVendor == "Ivanti" or Activity has_any ("dana-na", "dana-admin", "dana-ws")
| where DestinationPort in (443, 8443)
| summarize Intentos = count(), IPs = make_set(SourceIP) by bin(TimeGenerated, 1h), RequestURL
| where Intentos > 20
| order by Intentos desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Picos de solicitudes a rutas administrativas de Connect Secure
==============================================================================
  Requiere: index=proxy con logs del equipo Ivanti Connect Secure o del firewall que lo precede, con campos uri_path, src_ip y status normalizados.

index=proxy sourcetype=ivanti_cs OR sourcetype=cisco:asa
(uri_path="*dana-na*" OR uri_path="*dana-admin*" OR uri_path="*dana-ws*")
| stats count by src_ip, uri_path, status
| where count > 20

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Escaneos de vulnerabilidad autorizados por el propio equipo de seguridad,
  balanceadores de carga o health checks automatizados hacia el portal VPN,
  y accesos administrativos legítimos desde IPs no incluidas aún en la lista
  blanca pueden generar falsos positivos. Es obligatorio alimentar la lista
  de IPs de administración conocidas antes de poner estas reglas en modo de
  alerta activa; en modo observación (sin bloqueo) el ruido es tolerable.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================