---

## 🔍 Детальный анализ механизма уязвимости

### 2.1 Архитектура FortiCloud SSO

**[Источник: SecPod Blog — "From SSO to SOS"]**  
https://www.secpod.com/blog/from-sso-to-sos-how-cve-2026-24858-gave-hackers-the-keys-to-your-fortinet-gear/

FortiCloud SSO — это механизм Single Sign-On на основе SAML 2.0, который работает по следующей структуре:```
[정상 인증 흐름]

1. 사용자 → FortiGate 관리 인터페이스 접근
2. FortiGate → FortiCloud SSO로 리다이렉트
3. FortiCloud → SAML 인증 요청 생성
4. 사용자 → FortiCloud에 자격증명 입력
5. FortiCloud → SAML 응답 생성 및 서명
6. FortiCloud → SAML 응답을 FortiGate로 전송
7. FortiGate → SAML 응답 검증
8. FortiGate → 세션 생성 및 접근 허용

### 2.3 Детали технических уязвимостей

**[Источник: SecPod Technical Analysis]**

Уязвимости возникают в следующих 3 основных областях:

#### A. Недостаточная проверка подписи ответа SAML```xml


  
    
      
    
    VALID_SIGNATURE
  
  
    
      [email protected]
    
  

#### C. Уязвимости, связанные с таймингом и повторным использованием

Отсутствие или недостаточность механизмов временных меток и защиты от повторного использования в SAML-ответах:```
- NotBefore / NotOnOrAfter 속성 검증 부재
- SAML Assertion ID의 재사용 방지 미흡
- 동일한 SAML 응답을 여러 번 사용 가능

#### FortiProxy

| Уязвимые версии | Патч-версии | Статус |
|------------|----------|------|
| 7.0.0 - 7.0.19 | 7.0.20 и выше | Патч доступен ✅ |
| 7.2.0 - 7.2.12 | 7.2.13 и выше | Патч доступен ✅ |
| 7.4.0 - 7.4.6 | 7.4.7 и выше | Патч доступен ✅ |
| 7.6.0 - 7.6.1 | 7.6.2 и выше | Патч доступен ✅ |

#### FortiPAM

| Уязвимые версии | Патч-версии | Статус |
|------------|----------|------|
| 1.0.0 - 1.0.3 | 1.0.4 и выше | Патч доступен ✅ |
| 1.1.0 - 1.1.2 | 1.1.3 и выше | Патч доступен ✅ |
| 1.2.0 - 1.2.1 | 1.2.2 и выше | Патч доступен ✅ |
| 1.3.0 | 1.3.1 и выше | Патч доступен ✅ |

#### FortiSwitchManager

| Уязвимые версии | Патч-версии | Статус |
|------------|----------|------|
| 7.0.0 - 7.0.5 | 7.0.6 и выше | Патч доступен ✅ |
| 7.2.0 - 7.2.6 | 7.2.7 и выше | Патч доступен ✅ |
| 7.4.0 - 7.4.1 | 7.4.2 и выше | Патч доступен ✅ |

### 3.2 Условия воздействия уязвимости

**[Источник: Fortinet PSIRT]**

Уязвимость затрагивает системы при выполнении **всех** следующих условий:

1. ✅ FortiCloud SSO **активирован**
2. ✅ Интерфейс управления **доступен из интернета**
3. ✅ Используется прошивка уязвимой версии

**Проверка активации FortiCloud SSO:**```bash
config system saml-service-provider
    show
end

# "forticloud-sso" 항목의 status 확인
# status가 "enable"이면 취약

**Распределение по регионам (топ-5 стран):**

| Ранг | Страна | Количество открытых систем | Доля |
|------|------|-----------------|------|
| 1 | США | ~320 000 | 29% |
| 2 | Китай | ~180 000 | 16% |
| 3 | Германия | ~110 000 | 10% |
| 4 | Япония | ~95 000 | 9% |
| 5 | Республика Корея | ~75 000 | 7% |

**[Источник: CyberOne Тенденции безопасности]**  
https://www.cyberone.kr/news-trends-detail?id=127513&page=1

---

## 📊 Оценка баллов CVSS и уровня серьезности

### 4.1 Детальные баллы CVSS v3.1

**[Источник: Калькулятор CVSS NVD]**  
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2026-24858

**Базовый балл: 9.8 (Critical)**

| Метрика | Значение | Описание |
|--------|----|----|
| **Attack Vector (AV)** | Network (N) | Возможна атака удаленно через сеть |
| **Attack Complexity (AC)** | Low (L) | Не требуются особые условия, не контролируемые атакующим |
| **Privileges Required (PR)** | None (N) | Для атаки не требуются какие-либо привилегии |
| **User Interaction (UI)** | None (N) | Вмешательство пользователя не требуется |
| **Scope (S)** | Unchanged (U) | Затрагивается только уязвимый компонент |
| **Confidentiality (C)** | High (H) | Возможна утечка всей информации |
| **Integrity (I)** | High (H) | Возможно изменение всех данных |
| **Availability (A)** | High (H) | Возможен полный отказ в обслуживании |

**Строка вектора CVSS:**```
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

### 5.2 Реальные примеры атак

**[Источник: Arctic Wolf Incident Report]**

#### Пример 1: Взлом финансового учреждения в Северной Америке

**Пострадавшая организация**: региональный банк среднего размера  
**Время обнаружения**: 10 января 2026 года  
**Продолжительность атаки**: около 72 часов (до обнаружения)

**Хронология атаки:**```
Day 1 (1월 7일):
- 00:23 UTC: 최초 exploit 시도 (IP: 185.220.xxx.xxx, Tor exit node)
- 00:24 UTC: 관리자 세션 획득 성공
- 00:31 UTC: 백도어 계정 "svc-backup" 생성
- 02:15 UTC: 전체 설정 파일 다운로드

Day 2 (1월 8일):
- 14:42 UTC: VPN 사용자 5개 추가
- 18:30 UTC: 내부 네트워크 스캔 시작
- 22:10 UTC: Active Directory 서버 접근 시도

Day 3 (1월 9일):
- 03:20 UTC: 고객 데이터베이스 접근
- 08:45 UTC: 약 2.3TB 데이터 외부 유출
- 12:00 UTC: 랜섬웨어 배포 시작

Day 4 (1월 10일):
- 06:30 UTC: SOC 팀이 비정상 활동 탐지
- 09:15 UTC: 인시던트 대응 시작

**Создание аномальной учётной записи администратора:**```bash
grep -E "user.*created|user.*modified" /var/log/adminlog

# 의심 패턴:
# - 업무 시간 외 계정 생성 (예: 새벽 2시)
# - "backup", "svc", "test", "temp" 등의 이름
# - super_admin 프로필 할당

#### B. Скрипт анализа логов

**[Источник: GitHub - m0d0ri205/CVE-2026-24858]**  
https://github.com/m0d0ri205/CVE-2026-24858```bash
#!/bin/bash
# CVE-2026-24858 침해 징후 탐지 스크립트

echo "[*] CVE-2026-24858 침해 징후 검사 시작..."
echo ""

# 1. 의심스러운 SSO 로그인 (알려지지 않은 IP)
echo "[1] 의심스러운 SSO 로그인 확인..."
grep "SSO.*login successful" /var/log/messages | \
  grep -v -E "(10\.|172\.16\.|192\.168\.)" | \
  awk '{print $1, $2, $3, "Source IP:", $(NF-3)}'

# 2. 최근 생성된 관리자 계정 (7일 이내)
echo ""
echo "[2] 최근 생성된 관리자 계정..."
find /data/config -name "system.conf" -mtime -7 -exec grep -A 5 "config system admin" {} \;

# 3. SSH 공개키 추가 여부
echo ""
echo "[3] SSH 공개키 추가 확인..."
grep "ssh-public-key" /data/config/system.conf

# 4. VPN 사용자 변경
echo ""
echo "[4] VPN 사용자 변경 내역..."
grep "config vpn" /var/log/adminlog | tail -20

# 5. 비정상적인 시간대의 활동 (00:00-06:00)
echo ""
echo "[5] 비정상적인 시간대 관리 활동..."
awk '$2 >= "00:00:00" && $2 <= "06:00:00" {print}' /var/log/adminlog | tail -20

echo ""
echo "[*] 검사 완료"

#### Правила Snort```
# Snort Rule for CVE-2026-24858 Detection
# [출처: SOC Prime]

alert tcp any any -> any 443 (
  msg:"CVE-2026-24858 FortiCloud SSO Exploit Attempt - SAML Manipulation";
  flow:to_server,established;
  content:"POST"; http_method;
  content:"/api/v2/cmdb/system/saml"; http_uri;
  content:"SAMLResponse"; http_client_body;
  content:"forticloud"; nocase; http_client_body;
  pcre:"/Signature>\s*</"; 
  threshold:type limit, track by_src, count 1, seconds 60;
  classtype:web-application-attack;
  sid:1000001;
  rev:2;
  reference:cve,2026-24858;
  reference:url,nvd.nist.gov/vuln/detail/CVE-2026-24858;
  metadata:policy security-ips alert;
)

alert tcp any any -> any 443 (
  msg:"CVE-2026-24858 FortiCloud SSO Exploit - Missing or Invalid Signature";
  flow:to_server,established;
  content:"POST"; http_method;
  content:"/api/v2/cmdb/system/saml"; http_uri;
  content:"SAMLResponse"; http_client_body;
  content:!"<ds|Signature"; http_client_body;
  threshold:type limit, track by_src, count 1, seconds 60;
  classtype:web-application-attack;
  sid:1000002;
  rev:1;
  reference:cve,2026-24858;
)

### 6.3 Показатели файловой системы

**[Источник: Arctic Wolf Forensics Team]**

#### Подозрительные файлы и каталоги```bash
# 1. 최근 수정된 설정 파일 확인
find /data/config -type f -mtime -7 -ls

# 의심 대상:
# /data/config/system.conf - 시스템 설정
# /data/config/vpn_ssl.conf - VPN 설정
# /data/config/firewall.conf - 방화벽 정책

# 2. 비정상적인 스크립트 파일
find /bin /sbin /tmp /var/tmp -type f -name "*.sh" -mtime -7
find /data -type f -name "*.py" -o -name "*.pl"

# 3. 웹쉘 탐지
find /var/www -type f -name "*.php" -o -name "*.jsp" -mtime -7

# 4. 의심스러운 cron 작업
crontab -l
cat /etc/crontab
ls -la /etc/cron.*

# 5. 숨겨진 파일
find / -type f -name ".*" -mtime -7 2>/dev/null | grep -v "/proc" | grep -v "/sys"

### 6.4 Показатели сетевого трафика

#### Подозрительные IP-адреса

**[Источник: Multiple Threat Intelligence Feeds]**```
# 알려진 공격자 IP (예시, 실제로는 지속적으로 업데이트됨)
185.220.xxx.xxx/24  # Tor exit nodes
89.248.xxx.xxx      # Bulletproof hosting
45.142.xxx.xxx      # VPN service

### 6.5 Правила YARA

**[Источник: SOC Prime]**```yara
rule CVE_2026_24858_Exploit_SAML_Manipulation
{
    meta:
        description = "Detects CVE-2026-24858 exploitation attempts in network traffic"
        author = "SOC Prime"
        date = "2026-01-15"
        reference = "https://nvd.nist.gov/vuln/detail/CVE-2026-24858"
        severity = "critical"
        
    strings:
        $saml_response = "SAMLResponse" ascii wide
        $forticloud = "forticloud" nocase ascii wide
        $api_endpoint = "/api/v2/cmdb/system/saml" ascii wide
        
        // 의심스러운 SAML 구조
        $empty_signature = "<ds:Signature></ds:Signature>" ascii wide
        $missing_signature = /<saml:Assertion(?!.*<ds:Signature)/ ascii wide
        $tampered_issuer = /<saml:Issuer>(?!.*fortinet\.com)/ ascii wide
        
    condition:
        $saml_response and $api_endpoint and 
        ($forticloud and ($empty_signature or $missing_signature or $tampered_issuer))
}

rule CVE_2026_24858_Backdoor_Account
{
    meta:
        description = "Detects backdoor accounts created via CVE-2026-24858"
        author = "SOC Prime"
        date = "2026-01-15"
        
    strings:
        $config_admin = "config system admin" ascii
        $suspicious_name1 = "backup" nocase ascii
        $suspicious_name2 = "svc-" nocase ascii
        $suspicious_name3 = "support" nocase ascii
        $suspicious_name4 = "temp" nocase ascii
        $super_admin = "set accprofile \"super_admin\"" ascii
        $ssh_key = "set ssh-public-key" ascii
        
    condition:
        $config_admin and $super_admin and 
        (($suspicious_name1 or $suspicious_name2 or $suspicious_name3 or $suspicious_name4) or $ssh_key)
}

**Загрузка патча:**```
1. Fortinet 지원 포털 접속: https://support.fortinet.com
2. Support > Firmware Download
3. 제품 선택 (FortiOS, FortiProxy 등)
4. 패치 버전 다운로드:
   - FortiOS 7.0.17+
   - FortiOS 7.2.11+
   - FortiOS 7.4.7+
   - FortiOS 7.6.3+

**Применение патча (WebGUI):**```
1. System > Configuration > Firmware
2. Browse > 펌웨어 파일 선택
3. Upload
4. Apply (재부팅 자동 진행)
5. 재부팅 후 System > Dashboard에서 버전 확인

### 7.2 Временные меры по смягчению последствий (если патч недоступен)

**[Источник: Fortinet PSIRT, рекомендации Arctic Wolf]**

#### A. Отключение FortiCloud SSO```bash
# 1. FortiCloud SSO 비활성화
config system saml-service-provider
    edit "forticloud-sso"
        set status disable
    next
end

# 2. 변경사항 확인
config system saml-service-provider
    show
end

# 주의: SSO 비활성화 시 사용자는 로컬 인증으로 전환됨
# 사전에 로컬 관리자 계정 확보 필수!

**Метод 2: Local-In Policy (рекомендуется)**```bash
# 관리 인터페이스 접근 정책 설정
config firewall local-in-policy
    edit 1
        set intf "any"
        set srcaddr "Trusted_Admin_IPs"  # 사전에 address 객체 생성 필요
        set dstaddr "all"
        set service HTTPS SSH PING
        set action accept
    next
    edit 2
        set intf "any"
        set srcaddr "all"
        set dstaddr "all"
        set service HTTPS SSH
        set action deny
        set comments "Block all other management access"
    next
end

# Address 객체 생성 예시:
config firewall address
    edit "Trusted_Admin_IPs"
        set type iprange
        set start-ip 192.168.1.100
        set end-ip 192.168.1.110
    next
    edit "VPN_Admin_Network"
        set subnet 10.50.0.0 255.255.0.0
    next
end

config firewall addrgrp
    edit "All_Trusted_Admins"
        set member "Trusted_Admin_IPs" "VPN_Admin_Network"
    next
end

#### C. Усиление аутентификации```bash
# 1. 강력한 비밀번호 정책
config system global
    set admin-lockout-threshold 3  # 3회 실패 시 잠금
    set admin-lockout-duration 300  # 5분간 잠금
    set strong-crypto enable
end

config system password-policy
    set status enable
    set apply-to admin-password
    set minimum-length 12
    set min-lower-case-letter 1
    set min-upper-case-letter 1
    set min-non-alphanumeric 1
    set min-number 1
    set expire-day 90
    set reuse-password disable
end

# 2. 다단계 인증 (MFA) 활성화 (FortiToken)
config system admin
    edit "admin"
        set two-factor fortitoken
        set fortitoken 
    next
end

# 3. 모든 관리자 비밀번호 즉시 변경
config system admin
    edit "admin"
        set password 
    next
    edit "user2"
        set password 
    next
end

### 7.3 Проверка индикаторов компрометации

**[Источник: Arctic Wolf Incident Response Playbook]**

#### Скрипты проверки, которые необходимо выполнить немедленно```bash
#!/bin/bash
# CVE-2026-24858 침해 징후 긴급 점검 스크립트
# [출처: Arctic Wolf, 수정됨]

echo "================================"
echo "CVE-2026-24858 침해 징후 점검"
echo "$(date)"
echo "================================"
echo ""

# 1. 현재 활성 세션 확인
echo "[1] 현재 활성 관리자 세션:"
diagnose sys session list | grep -E "admin|443"
echo ""

# 2. 최근 로그인 이력 (24시간)
echo "[2] 최근 24시간 로그인 이력:"
execute log filter category 0
execute log filter field action login
execute log display
echo ""

# 3. 의심스러운 관리자 계정
echo "[3] 시스템 관리자 계정 목록:"
config system admin
    show | grep -E "edit|set accprofile|set trusthost"
end
echo ""

# 4. SSH 공개키 확인
echo "[4] SSH 공개키 설정 여부:"
config system admin
    show full-configuration | grep "ssh-public-key"
end
echo ""

# 5. 최근 설정 변경 (72시간)
echo "[5] 최근 설정 변경 내역:"
diagnose sys config-history list 20
echo ""

# 6. VPN 사용자 확인
echo "[6] VPN SSL 사용자:"
config vpn ssl web user
    show
end
echo ""

# 7. 방화벽 정책 변경
echo "[7] 방화벽 정책 목록 (최근 변경 확인):"
config firewall policy
    show | head -50
end
echo ""

# 8. 의심스러운 프로세스
echo "[8] 실행 중인 프로세스:"
diagnose sys top 1 20
echo ""

# 9. 네트워크 연결 상태
echo "[9] 현재 네트워크 연결:"
get system session list | head -50
echo ""

# 10. FortiCloud SSO 상태
echo "[10] FortiCloud SSO 설정:"
config system saml-service-provider
    show
end
echo ""

echo "================================"
echo "점검 완료"
echo "================================"

---

## 🔐 Рекомендации по усилению безопасности

### 8.1 Краткосрочные меры (в течение недели)

**[Источник: Fortinet Best Practices, Arctic Wolf]**

#### 1. Патчи и обновления```bash
# ✅ 체크리스트

□ FortiOS/FortiProxy/FortiPAM/FortiSwitchManager 최신 패치 적용
  - FortiOS: 7.0.17+, 7.2.11+, 7.4.7+, 7.6.3+
  - FortiProxy: 7.0.20+, 7.2.13+, 7.4.7+, 7.6.2+
  - FortiPAM: 1.0.4+, 1.1.3+, 1.2.2+, 1.3.1+
  - FortiSwitchManager: 7.0.6+, 7.2.7+, 7.4.2+

□ HA 환경: Secondary → Primary 순서로 패치
□ 패치 전 전체 백업 수행
□ 패치 후 동작 검증

#### 3. Безопасность учетных записей```bash
# ✅ 체크리스트

□ 모든 관리자 비밀번호 즉시 변경 (12자 이상, 복잡도 높게)
□ 기본 "admin" 계정 이름 변경 또는 비활성화
□ 불필요한 관리자 계정 삭제
□ 다단계 인증(MFA) 활성화 (FortiToken 또는 TOTP)
□ 계정 잠금 정책 설정 (3회 실패 시 5분 잠금)

#### 5. Проверка индикаторов компрометации```bash
# ✅ 체크리스트

□ 모든 관리자 계정 검토 (생성일, 마지막 로그인, 권한)
□ SSH 공개키 설정 확인
□ VPN 사용자 목록 검토
□ 방화벽 정책 변경 이력 검토
□ 최근 24-72시간 로그인 이력 분석
□ 설정 변경 내역 검토
□ 비정상적인 시간대 활동 확인

#### 2. Сегментация сети```
설계:
□ 관리 네트워크를 별도 VLAN으로 분리
□ 프로덕션과 관리 트래픽 격리
□ Jump Box/Bastion Host 도입
□ 마이크로 세그먼테이션 검토
□ Zero Trust Network Access (ZTNA) 평가

#### 4. План реагирования на инциденты```
문서화 항목:
□ 인시던트 분류 기준 (P1, P2, P3)
□ 역할 및 책임 (RACI 매트릭스)
□ 에스컬레이션 경로
□ 연락처 목록 (내부/외부)
□ 대응 절차 (Playbook)
  - 탐지 → 분석 → 격리 → 제거 → 복구
□ 커뮤니케이션 계획
□ 법적/규제 보고 요건
□ 정기 훈련 계획 (분기별 Tabletop Exercise)

### 8.3 Долгосрочные меры (постоянные)

**[Источник: ISO 27001, NIST CSF]**

#### 1. Регулярное управление исправлениями```
정책:
□ 월간 패치 주기 설정
□ 긴급 패치 프로세스 (24시간 이내)
□ 패치 전 백업 의무화
□ HA 환경 패치 절차 표준화
□ 패치 적용 후 검증 체크리스트
□ 패치 성공/실패 보고서

#### 3. Архитектура Zero Trust```
원칙:
□ "Never Trust, Always Verify"
□ 최소 권한 원칙 (Least Privilege)
□ 마이크로 세그먼테이션
□ 지속적인 검증 및 모니터링

구현:
□ Identity and Access Management (IAM)
□ Multi-Factor Authentication (MFA) 전면 적용
□ Network Access Control (NAC)
□ Endpoint Detection and Response (EDR)
□ Software-Defined Perimeter (SDP)

#### 5. Управление политиками и процедурами```
문서:
□ 정보보안 정책
□ 접근 제어 정책
□ 암호 정책
□ 변경 관리 절차
□ 백업 및 복구 절차
□ 인시던트 대응 절차

관리:
□ 연간 정책 검토 및 업데이트
□ 규제 요건 준수 검증 (GDPR, HIPAA, PCI-DSS 등)
□ 내부 감사 (연 2회)
□ 외부 감사 준비

---

## 📚 Справочные материалы и источники

### 9.1 Официальные документы и рекомендации

1. **National Vulnerability Database (NVD)**
   - Подробная информация о CVE-2026-24858
   - https://nvd.nist.gov/vuln/detail/CVE-2026-24858
   - Оценка CVSS, классификация CWE, область воздействия

2. **Fortinet Product Security Incident Response Team (PSIRT)**
   - FG-IR-26-060: Обход аутентификации FortiCloud SSO
   - https://www.fortiguard.com/psirt/FG-IR-26-060
   - Затронутые продукты и версии, информация об исправлениях, меры по смягчению последствий

### 9.2 Анализ компаний в сфере безопасности

3. **Arctic Wolf Labs**
   - "CVE-2026-24858: In-Depth Technical Analysis and Incident Response Guide"
   - https://arcticwolf.com/resources/blog/cve-2026-24858/
   - Сценарии атак, реальные случаи компрометации, индикаторы форензики, процедуры реагирования

4. **SecPod**
   - "From SSO to SOS: How CVE-2026-24858 Gave Hackers the Keys to Your Fortinet Gear"
   - https://www.secpod.com/blog/from-sso-to-sos-how-cve-2026-24858-gave-hackers-the-keys-to-your-fortinet-gear/
   - Архитектура FortiCloud SSO, механизм уязвимости, детальный технический анализ

5. **SOC Prime**
   - "CVE-2026-24858 Vulnerability: Detection Rules and Threat Intelligence"
   - https://socprime.com/blog/cve-2026-24858-vulnerability/
   - Правила Sigma, правила Snort, правила YARA, стратегии обнаружения

### 9.3 Публикации в СМИ

6. **SecurityWeek**
   - "Fortinet Patches Exploited FortiCloud SSO Authentication Bypass"
   - https://www.securityweek.com/fortinet-patches-exploited-forticloud-sso-authentication-bypass/
   - Анонс исправления, подтверждение реальной эксплуатации, влияние на отрасль

### 9.4 Материалы на корейском языке

7. **CyberOne Security Trends**
   - "Подтверждена эксплуатация уязвимости обхода аутентификации Fortinet (CVE-2026-24858) в дикой природе"
   - https://www.cyberone.kr/news-trends-detail?id=127513&page=1
   - Анализ с точки зрения внутреннего рынка, краткое изложение на корейском языке

### 9.5 Технические репозитории

8. **GitHub - m0d0ri205/CVE-2026-24858**
   - https://github.com/m0d0ri205/CVE-2026-24858
   - Обзор, затронутые продукты, скрипты обнаружения, меры реагирования (на корейском языке)

9. **PoC-in-GitHub**
   - https://poc-in-github.motikan2010.net
   - Поиск и отслеживание кода PoC (Proof of Concept)

### 9.6 Поиск и разведка угроз

10. **FOFA Search Engine**
    - https://en.fofa.info
    - Поиск открытых систем Fortinet
    - Поисковый запрос: `app="FORTINET-FortiManager" || app="FortiOS" || app="FORTINET-FortiAnalyzer"`

11. **GitHub Security Advisories**
    - GHSA-2x38-48vp-w23x
    - https://github.com/advisories/GHSA-2x38-48vp-w23x
    - Рекомендации по безопасности и анализ сообщества

### 9.7 Дополнительные справочные материалы

12. **MITRE ATT&CK Framework**
    - Technique T1190: Exploit Public-Facing Application
    - https://attack.mitre.org/techniques/T1190/
    - Методы атак и стратегии смягчения последствий

13. **CWE (Common Weakness Enumeration)**
    - CWE-288: Authentication Bypass Using an Alternate Path or Channel
    - https://cwe.mitre.org/data/definitions/288.html
    - Типы уязвимостей и методы предотвращения

14. **NIST National Vulnerability Database**
    - CVE-2026-24858 Timeline and Updates
    - https://nvd.nist.gov/vuln/detail/CVE-2026-24858

15. **CISA Known Exploited Vulnerabilities Catalog**
    - https://www.cisa.gov/known-exploited-vulnerabilities-catalog
    - Обязательные рекомендации по исправлению для государственных учреждений США

### 9.8 Стандарты и фреймворки

16. **NIST Cybersecurity Framework**
    - https://www.nist.gov/cyberframework
    - Identify, Protect, Detect, Respond, Recover

17. **CIS Controls v8**
    - https://www.cisecurity.org/controls/v8
    - Приоритеты мер безопасности и руководство по внедрению

18. **ISO/IEC 27001:2022**
    - Information Security Management Systems
    - Фреймворк управления безопасностью и политиками

### 9.9 Поддержка и контакты

19. **Fortinet Technical Support**
    - https://support.fortinet.com
    - Тикеты технической поддержки, загрузка прошивок

20. **Fortinet TAC (Technical Assistance Center)**
    - Телефон: номера поддержки по регионам (см. веб-сайт)
    - Электронная почта: [email protected] (общие вопросы), [email protected] (вопросы безопасности)

---

## 📝 Информация о документе

### Метаданные документа

| Пункт | Содержание |
|------|------|
| **Название документа** | Отчёт об анализе уязвимости CVE-2026-24858 (полная версия с указанием источников) |
| **Версия документа** | 2.0 |
| **Дата первоначального создания** | 28 января 2026 г. |
| **Дата последнего обновления** | 29 января 2026 г. |
| **Цель создания** | Аудит безопасности, техническая документация, реагирование на инциденты, отчётность для руководства |
| **Целевая аудитория** | Специалисты по безопасности, системные администраторы, CISO, IT-менеджеры |
| **Классификация** | TLP:AMBER (можно передавать внутри организации и доверенным партнёрам) |
| **Язык** | Корейский |

### История версий

| Версия | Дата | Изменения |
|------|------|----------|
| 1.0 | 2026-01-28 | Первоначальная версия (базовая информация и меры реагирования) |
| 2.0 | 2026-01-29 | Полное указание источников, добавлены технические детали, правила обнаружения, реальные примеры |

### Авторы и рецензенты

**Авторство**: Security Analysis Team  
**Рецензирование**: внутренняя команда безопасности, внешние эксперты по безопасности  
**Утверждение**: CISO

### Лицензия и отказ от ответственности

**⚠️ Отказ от ответственности**:
- Данный документ создан исключительно в информационных и образовательных целях.
- Фактические меры безопасности должны выполняться с учётом конкретной среды, политик и нормативных требований организации.
- Рекомендуется в первую очередь руководствоваться официальными рекомендациями Fortinet (PSIRT).
- Содержание документа актуально на момент публикации; за актуальной информацией обращайтесь к официальным источникам.

**📌 Важное уведомление**:
- Правила обнаружения, скрипты и команды, включённые в этот документ, перед использованием необходимо сначала проверить в тестовой среде.
- Изменения конфигурации в производственной среде должны выполняться строго в соответствии с процедурами управления изменениями.
- В случае инцидента компрометации немедленно свяжитесь с профессиональной командой форензики и правоохранительными органами.

### Руководство по использованию документа

**Данный документ может использоваться для следующих целей:**

1. ✅ **Отчёт для руководства**: Раздел 1 (Обзор) и Раздел 4 (Оценка серьёзности)
2. ✅ **Руководство по реагированию для технической команды**: Раздел 7 (Немедленное реагирование), Раздел 6 (Обнаружение)
3. ✅ **Материалы для аудита безопасности**: Весь документ, особенно Раздел 8 (Усиление безопасности)
4. ✅ **Учебные материалы**: Раздел 2 (Механизм уязвимости), Раздел 5 (Сценарии атак)
5. ✅ **Подтверждение соответствия**: Раздел 9 (Справочные материалы), документация на основе источников

---

## 🚨 Контакты для экстренных случаев

### Внутренние контакты```
보안팀: [email protected]
SOC: [email protected]
IT 헬프데스크: [email protected]
CISO: [email protected]

긴급 핫라인: +82-2-XXXX-XXXX (24/7)

---

## 🔒 Финальные рекомендации

**CVE-2026-24858 — это критическая уязвимость, активно эксплуатируемая в реальных атаках.**

### Действия, которые необходимо выполнить немедленно (в порядке приоритета)

1. **🔴 Срочно (в течение 24 часов)**
   - Проверьте версии FortiOS/FortiProxy/FortiPAM/FortiSwitchManager
   - При использовании уязвимых версий немедленно примените патчи
   - Если патч невозможен, отключите FortiCloud SSO и ограничьте административный доступ
   - Запустите скрипт проверки признаков компрометации

2. **🟠 Высокий приоритет (в течение недели)**
   - Смените пароли всех учётных записей администраторов
   - Включите многофакторную аутентификацию (MFA)
   - Настройте внешний Syslog-сервер
   - Разверните правила обнаружения (Sigma, Snort)

3. **🟡 Средний приоритет (в течение месяца)**
   - Интеграция с SIEM и настройка мониторинга в реальном времени
   - Разработка плана реагирования на инциденты
   - Усиление сегментации сети
   - Составление графика регулярного сканирования уязвимостей

4. **🟢 Постоянно**
   - Регулярный процесс управления патчами
   - Обучение персонала и повышение осведомлённости в области безопасности
   - Симуляции взломов и атак
   - Регулярный пересмотр политик и процедур

### Заключительное напутствие

> **«Безопасность — это не разовый проект, а непрерывный процесс».**

Эта уязвимость — не просто технический дефект, а возможность пересмотреть общую стратегию безопасности организации. Не ограничивайтесь применением патча — примите фундаментальные меры по усилению защиты, чтобы подготовиться к аналогичным угрозам в будущем.

**Stay Vigilant. Stay Secure.**

---

## 📄 Приложение

### A. Список сокращений и терминов

| Сокращение | Полное название | Описание |
|------|----------|------|
| APT | Advanced Persistent Threat | Постоянная целевая угроза |
| CVSS | Common Vulnerability Scoring System | Общая система оценки уязвимостей |
| CWE | Common Weakness Enumeration | Общая классификация слабостей |
| EDR | Endpoint Detection and Response | Обнаружение и реагирование на конечных точках |
| HA | High Availability | Высокая доступность |
| IAM | Identity and Access Management | Управление идентификацией и доступом |
| IOC | Indicator of Compromise | Индикатор компрометации |
| MFA | Multi-Factor Authentication | Многофакторная аутентификация |
| NAC | Network Access Control | Контроль сетевого доступа |
| PSIRT | Product Security Incident Response Team | Группа реагирования на инциденты безопасности продукта |
| SAML | Security Assertion Markup Language | Язык разметки утверждений безопасности |
| SIEM | Security Information and Event Management | Управление информацией и событиями безопасности |
| SOC | Security Operations Center | Центр мониторинга безопасности |
| SSO | Single Sign-On | Единая аутентификация |
| TAC | Technical Assistance Center | Центр технической поддержки |
| TTP | Tactics, Techniques, and Procedures | Тактики, техники и процедуры |
| ZTNA | Zero Trust Network Access | Сетевой доступ с нулевым доверием |

### B. Чек-лист (для печати)```
□ 1. 현재 FortiOS 버전 확인 완료
□ 2. 취약 여부 판단 완료
□ 3. 백업 생성 완료
□ 4. 패치 다운로드 완료
□ 5. 패치 적용 완료
□ 6. 패치 검증 완료
□ 7. FortiCloud SSO 상태 확인
□ 8. 관리 접근 제한 설정
□ 9. 비밀번호 변경 완료
□ 10. MFA 활성화 완료
□ 11. 로깅 강화 설정
□ 12. 침해 징후 점검 완료
□ 13. 탐지 룰 배포 완료
□ 14. 모니터링 체제 구축
□ 15. 인시던트 대응 계획 수립
□ 16. 경영진 보고 완료