cisagov/check-your-pulseЭта утилита может помочь определить, существуют ли индикаторы компрометации (IOCs) в файлах журналов устройства Pulse Secure VPN для CVE-2019-11510.
Эта утилита может помочь определить, существуют ли индикаторы компрометации (IOCs) в файлах журналов Pulse Secure VPN Appliance для CVE-2019-11510.
Агентство по кибербезопасности и защите инфраструктуры (CISA) стало свидетелем многих орга низаций, которые были взломаны, несмотря на установку исправлений на их устройствах, из-за того, что учетные данные Active Directory (включая администратора домена) были собраны до установки исправлений. Подробности можно найти в предупреждении AA20-107A.
Этот инструмент может помочь организациям найти попытки эксплуатации в их журналах и оценить свой риск на основе результатов. Если попытки эксплуатации найдены до д аты установки исправлений, возможно, необходимо внимательно следить за несанкциониро ванными подключениями и выполнить полный сброс паролей домена.
IOCs, включенные в этот инструмент, имеют уровень TLP:WHITE. Добавление дополнительных индикаторов из open- source или коммерческих поставщиков может повысить эффективность этого инструмента.
Инструмент работает путем поиска IOCs (строк, IP-адресов, и пользовательских агентов), связанных с субъектами угроз, эксплуатирующими эту уязвимость в дикой природе.
NOTE: check-your-pulse will alert on ANY IOCs it finds in the log files. If an IOC occurred after patch, it may be a false positive.
Python versions 3.6 and above. Note that Python 2 is not supported.
Если неаутентифицированное логирование не было включено до установки исправлений, вы будете полагаться на строки user agent и IP-адреса, которые являются гораздо менее надежными индикаторами.
Подробные инструкции по настройке pulse secure можно найти здесь.
git clone https://github.com/cisagov/check-your-pulse.git
cd check-your-pulse
Download the logs from web console
Инструкции можно найти здесь для версии 8.3 Pulse Connect Secure.
$ python3 ./app.py --path <path to .events and .access files, defaults to ./>
OUTPUT
Подробную информацию об использовании можно посмотреть с помощью:
$ python3 ./app.py -h
usage: app.py [-h] [-r RAW] [-c CSV] [-j JSON] [-p PATH] [-n NUMEVENTS]
optional arguments:
-h, --help show this help message and exit
-r RAW, --raw RAW Dumps the output to a human readable file.
-c CSV, --csv CSV Writes output to a .csv file. Needs to be provided the
name to save as.
-j JSON, --json JSON Writes output to a .json file. Needs to be provided
the name to save as.
-p PATH, --path PATH Path to the folder containing .access and .events.
-n NUMEVENTS, --numevents NUMEVENTS
Number of events to print in the quick summary
(default 10)
Для получения дополнительной информации об этой уязвимости см.: https://nvd.nist.gov/vuln/detail/CVE-2019-19781
Если у вас возникли проблемы при использовании кода, откройте issue в репозитории!
Вы можете сделать это, нажав «Issues» вверху и нажав «New Issue» на следующей странице.
Мы приветствуем вклад! Подробнее см. здесь для получения подробной информации.
This project is in the worldwide public domain.
Этот проект находится в общественном достоянии на территории Соединенных Штатов, и авторские права и смежные права на работу по всему миру отменены через CC0 1.0 Universal public domain dedication.
Все вклады в этот проект будут выпущены под CC0 dedication. Отправляя запрос на слияние, вы соглашаетесь соблюдать этот отказ от авторских прав.
УВЕДОМЛЕНИЕ
Этот пакет программного обеспечения («программное обеспечение» или «код») был создан правительством Соединенных Штатов и не защищен авторским правом. Вы можете использовать, изменять или распространять код любым способом. Однако вы не можете впоследствии защищать авторским правом код, как он распространяется. Правительство Соединенных Штатов не заявляет об авторских правах на изменения, которые вы вносите, и не будет ограничивать ваше распространение добросовестных изменений в программное обеспечение. Если вы решите обновить или распространить код , включите это уведомление вместе с кодом. Там, где это уместно, мы просим вас указывать Агентство по кибербезопасности и защите инфраструктуры со следующим заявлением: «Оригинальный код разработан Агентством по кибербезопасности и защите инфраструктуры (CISA), Министерство внутренней безопасности США».
ИСПОЛЬЗУЙТЕ ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ НА СВОЙ СТРАХ И РИСК. ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПОСТАВЛЯЕТСЯ БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ, ЯВНЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ. ПРАВИТЕЛЬСТВО СОЕДИНЕННЫХ ШТАТОВ НЕ НЕСЕТ ОТВЕТСТВЕННОСТИ ЗА ИСПОЛЬЗОВАНИЕ ИЛИ НЕПРАВИЛЬНОЕ ИСПОЛЬЗОВАНИЕ ЭТОГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ ИЛИ ЕГО ПРОИЗВОДНЫХ.
ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПРЕДОСТАВЛЯЕТСЯ «КАК ЕСТЬ». ПРАВИТЕЛЬСТВО СОЕДИНЕННЫХ ШТАТОВ НЕ БУДЕТ УСТАНАВЛИВАТЬ , УДАЛЯТЬ, ЭКСПЛУАТИРОВАТЬ ИЛИ ПОДДЕРЖИВАТЬ ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПО ВАШЕМУ ЗАПРОСУ. ЕСЛИ ВЫ НЕ УВЕРЕНЫ В ТОМ, КАК ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ БУДЕТ ВЗАИМОДЕЙСТВОВАТЬ С ВАШЕЙ СИСТЕМОЙ, НЕ ИСПОЛЬЗУЙТЕ ЕГО.
--