Vérification de vulnérabilité Palo - CVE-2024-3400

Aperçu

Ce script est conçu pour vérifier les signes de compromission sur les systèmes Palo, spécifiquement pour la vulnérabilité identifiée comme CVE-2024-3400. Il recherche dans les archives gz ou .tgz des packages de support technique des entrées de journal spécifiques pouvant indiquer une brèche de sécurité.

Prérequis

• Python 3.x
• Accès au fichier .tar.gz contenant les journaux Palo.

Utilisation

1. Assurez-vous de disposer d'un fichier .tar.gz de support technique contenant les journaux Palo pertinents.
2. Modifiez la variable filepath dans le script pour pointer vers votre fichier .tar.gz.
3. Optionnel - Mettez à jour la liste search_terms avec les termes indicateurs de la vulnérabilité CVE-2024-3400.
4. Exécutez le script dans un environnement Python.

Fonctionnement

• Le script décompressera le fichier .tar.gz et recherchera dans les fichiers journaux spécifiés.
• S'il trouve l'un des termes de recherche, il affichera les lignes correspondantes et vous conseillera de suivre les recommandations de correction et de partager les fichiers avec le fournisseur.
• Si aucune correspondance n'est trouvée, il affichera un message indiquant qu'aucune compromission n'a été détectée, mais recommandera tout de même de partager le fichier avec le fournisseur par certitude.

Exemple

# Replace this with your actual file path
filepath = r'path to techsupport.tgz'

Notes importantes

• Le script arrête la recherche après avoir trouvé le premier ensemble de correspondances. Si vous avez besoin d'une recherche complète, supprimez l'instruction return après l'affichage des correspondances.
• Le script est un outil de base pour les vérifications initiales et ne remplace pas une analyse forensique professionnelle.
• Assurez-vous toujours d'avoir les dernières mises à jour et correctifs appliqués à vos systèmes Palo pour prévenir les vulnérabilités comme CVE-2024-3400.

Contribution

Si vous avez des suggestions pour améliorer ce script ou si vous avez trouvé un bug, veuillez ouvrir une issue ou une pull request avec vos modifications.