Проверка уязвимости Palo - CVE-2024-3400

Обзор

Этот скрипт предназначен для проверки признаков компрометации в системах Palo, в частности для уязвимости, обозначенной как CVE-2024-3400. Он ищет в файлах архивов пакетов техподдержки gz или .tgz конкретные записи журналов, которые могут указывать на нарушение безопасности.

Предварительные требования

• Python 3.x
• Доступ к файлу .tar.gz, содержащему журналы Palo.

Использование

1. Убедитесь, что у вас есть файл .tar.gz техподдержки, содержащий соответствующие журналы Palo.
2. Измените переменную filepath в скрипте, чтобы она указывала на ваш файл .tar.gz.
3. Опционально - обновите список search_terms терминами, указывающими на уязвимость CVE-2024-3400.
4. Запустите скрипт в среде Python.

Как это работает

• Скрипт распакует файл .tar.gz и выполнит поиск по указанным файлам журналов.
• Если он найдет какие-либо из поисковых терминов, он выведет соответствующие строки и порекомендует следовать инструкциям по устранению и поделиться файлами с поставщиком.
• Если совпадений не найдено, он выведет сообщение, указывающее на отсутствие обнаруженной компрометации, но все равно рекомендует поделиться файлом с поставщиком для уверенности.

Пример

# Replace this with your actual file path
filepath = r'path to techsupport.tgz'

Важные замечания

• Скрипт прекращает поиск после нахождения первого набора совпадений. Если вам нужен полный поиск, удалите оператор return после вывода совпадений.
• Скрипт является базовым инструментом для первичной проверки и не заменяет профессиональный криминалистический анализ.
• Всегда следите за установкой последних обновлений и исправлений на ваши системы Palo, чтобы предотвратить уязвимости, такие как CVE-2024-3400.

Участие в разработке

Если у вас есть предложения по улучшению этого скрипта или вы нашли ошибку, пожалуйста, откройте issue или pull request с вашими изменениями.