cisagov/check-your-pulseEsta utilidad puede ayudar a determinar si existen indicadores de compromiso (IOCs) en los archivos de registro de un dispositivo VPN Pulse Secure para CVE-2019-11510.
Esta utilidad puede ayudar a determinar si existen indicadores de compromiso (IOC) en los archivos de registro de un Pulse Secure VPN Appliance para CVE-2019-11510.
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha visto que muchas organizaciones han sido vulneradas a pesar de haber parcheado su appliance debido a credenciales de Active Directory (incluyendo Domain Admin) obtenidas antes del parcheo. Los detalles están disponibles en la Alerta AA20-107A. Esta herramienta puede ayudar a las organizaciones a localizar intentos de explotación en sus registros y evaluar su riesgo en función de los resultados. Si se localizan intentos de explotación antes de la fecha del parche, puede ser necesario vigilar cuidadosamente las conexiones no autorizadas y realizar un restablecimiento completo de contraseñas del dominio.
Los IOC incluidos en esta herramienta son TLP:WHITE. Agregar más indicadores de fuentes abiertas o comerciales puede mejorar la efectividad de esta herramienta.
La herramienta funciona buscando IOC (cadenas, direcciones de Protocolo de Internet [IP] y agentes de usuario) asociados a actores de amenazas que explotan esta vulnerabilidad en la naturaleza.
NOTA: check-your-pulse alertará sobre CUALQUIER IOC que encuentre en los archivos de registro. Si un IOC ocurrió después del parche, puede ser un falso positivo.
Versiones de Python 3.6 y superiores. Tenga en cuenta que no se admite Python 2.
Si el registro no autenticado no estaba habilitado antes del parcheo, dependerá de las cadenas de agente de usuario y las IP, que son indicadores mucho menos fiables.
Las instrucciones detalladas sobre la configuración de Pulse Secure se pueden encontrar aquí.
git clone https://github.com/cisagov/check-your-pulse.git
cd check-your-pulse
Download the logs from web console
Las instrucciones se pueden encontrar aquí para la versión 8.3 de Pulse Connect Secure.
$ python3 ./app.py --path <path to .events and .access files, defaults to ./>
OUTPUT
La información detallada de uso se puede ver con:
$ python3 ./app.py -h
usage: app.py [-h] [-r RAW] [-c CSV] [-j JSON] [-p PATH] [-n NUMEVENTS]
optional arguments:
-h, --help show this help message and exit
-r RAW, --raw RAW Dumps the output to a human readable file.
-c CSV, --csv CSV Writes output to a .csv file. Needs to be provided the
name to save as.
-j JSON, --json JSON Writes output to a .json file. Needs to be provided
the name to save as.
-p PATH, --path PATH Path to the folder containing .access and .events.
-n NUMEVENTS, --numevents NUMEVENTS
Number of events to print in the quick summary
(default 10)
Para más información sobre esta vulnerabilidad, consulte: https://nvd.nist.gov/vuln/detail/CVE-2019-19781
Si tiene problemas al usar el código, ¡abra un issue en el repositorio!
Puede hacerlo haciendo clic en "Issues" en la parte superior y luego en "New Issue" en la página siguiente.
¡Aceptamos contribuciones! Consulte aquí para más detalles.
Este proyecto está en el dominio público mundial.
Este proyecto es de dominio público en los Estados Unidos, y los derechos de autor y derechos relacionados en el trabajo a nivel mundial se renuncian mediante la dedicación CC0 1.0 Universal public domain dedication.
Todas las contribuciones a este proyecto se publicarán bajo la dedicación CC0. Al enviar una solicitud de extracción, usted acepta cumplir con esta renuncia de derechos de autor.
AVISO
Este paquete de software (“software” o “código”) fue creado por el Gobierno de los Estados Unidos y no está sujeto a derechos de autor. Puede usar, modificar o redistribuir el código de cualquier manera. Sin embargo, no puede posteriormente proteger con derechos de autor el código tal como se distribuye. El Gobierno de los Estados Unidos no reclama derechos de autor sobre los cambios que realice, ni restringirá la distribución de cambios legítimos al software. Si decide actualizar o redistribuir el código, incluya este aviso con el código. Cuando corresponda, solicitamos que acredite a la Agencia de Seguridad de Infraestructura y Ciberseguridad con la siguiente declaración: “Código original desarrollado por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), Departamento de Seguridad Nacional de los Estados Unidos.”
USE ESTE SOFTWARE BAJO SU PROPIO RIESGO. ESTE SOFTWARE SE PROPORCIONA SIN GARANTÍA, YA SEA EXPRESA O IMPLÍCITA. EL GOBIERNO DE LOS ESTADOS UNIDOS NO ASUME NINGUNA RESPONSABILIDAD POR EL USO O MAL USO DE ESTE SOFTWARE O SUS DERIVADOS.
ESTE SOFTWARE SE OFRECE “TAL CUAL”. EL GOBIERNO DE LOS ESTADOS UNIDOS NO INSTALARÁ, ELIMINARÁ, OPERARÁ NI DARÁ SOPORTE A ESTE SOFTWARE A SOLICITUD SUYA. SI NO ESTÁ SEGURO DE CÓMO INTERACTUARÁ ESTE SOFTWARE CON SU SISTEMA, NO LO USE.