==============================================================================
  CISA CONFIRMA EXPLOTACIÓN ACTIVA DE ZERO-DAY EN IVANTI CONNECT SECURE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisa-kev-ivanti-connect-secure-cve-2026-104935
  Publicado:   2026-10-16  (hora de Chile)
  Ambito:      global   ·   Criticidad: critica
  Descargado:  2026-10-25 04:58  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs HTTP del reverse proxy/WAF/balanceador delante del portal Ivanti Connect Secure (o syslog del propio appliance si no hay proxy intermedio)
  · Firewall perimetral / NetFlow del segmento DMZ donde vive el appliance
  · EDR en endpoints que establecen sesión VPN exitosa, para correlacionar movimiento lateral posterior

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Acceso sospechoso a endpoints administrativos de Ivanti Connect Secure
==============================================================================
  Requiere: Logs HTTP del proxy/WAF/balanceador que recibe el tráfico hacia el portal Ivanti Connect Secure, con campos cs-uri-path, cs-method, sc-status y c-ip. Si el portal no tiene proxy reverso delante, exportar directamente los logs del appliance vía syslog.

title: Acceso sospechoso a endpoints administrativos de Ivanti Connect Secure
id: 7c1e4a2b-6f3d-4e21-9a8c-5b2f1d6e9c47
status: experimental
description: Detecta solicitudes HTTP POST con respuesta 200 hacia rutas administrativas o de API de Ivanti Connect Secure, patrón consistente con intentos de explotación de CVE-2026-104935 (bypass de autenticación). Es una regla conductual, no una firma del exploit: ni Ivanti ni CISA han publicado el payload a la fecha.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
logsource:
  category: proxy
  definition: 'Requiere logs de reverse proxy, WAF o balanceador situado frente al portal de Ivanti Connect Secure, con campos de IP origen, método HTTP, URI y código de respuesta.'
detection:
  selection_path:
    cs-uri-path|contains:
      - '/dana-admin/'
      - '/api/v1/configuration'
      - '/dana-ws/'
  selection_method:
    cs-method: 'POST'
  selection_response:
    sc-status: 200
  condition: all of selection_*
fields:
  - c-ip
  - cs-uri-path
  - cs-method
  - sc-status
  - cs-user-agent
falsepositives:
  - Escaneos de vulnerabilidades autorizados contra el propio portal
  - Accesos legítimos de administración no documentados en el allowlist de gestión
  - Integraciones de monitoreo del propio fabricante
level: high
tags:
  - attack.initial_access
  - attack.t1190
  - cve.2026.104935

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Solicitudes POST a rutas administrativas de Connect Secure (CommonSecurityLog)
==============================================================================
  Requiere: Ingesta del WAF/proxy frente al portal Connect Secure hacia CommonSecurityLog (vía AMA o conector CEF). Si hay Defender for Endpoint en los equipos que inician sesión VPN, complementar con DeviceNetworkEvents para correlacionar IPs de origen.

CommonSecurityLog
| where DeviceVendor in ("Ivanti", "Pulse Secure") or DeviceProduct has "Connect Secure"
| where RequestURL has_any ("/dana-admin/", "/api/v1/configuration", "/dana-ws/")
| where RequestMethod == "POST"
| where DeviceCustomNumber1 == 200 or AdditionalExtensions has "200"
| project TimeGenerated, SourceIP, RequestURL, RequestMethod, DestinationHostName
| sort by TimeGenerated desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Accesos POST con 200 a rutas admin de Connect Secure
==============================================================================
  Requiere: index=proxy (o el nombre que use la organización) con campos uri_path, method, status, src_ip, dest provenientes del reverse proxy/WAF delante del portal Connect Secure.

index=proxy OR index=waf sourcetype=*access*
| regex uri_path="(dana-admin|api/v1/configuration|dana-ws)"
| search method=POST status=200
| stats count values(uri_path) as paths by src_ip, dest
| where count > 0
| sort - count

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Las tres reglas son conductuales, no firmas del exploit: Ivanti y CISA no
  han publicado el payload de CVE-2026-104935 a la fecha de este análisis.
  Van a generar ruido si el equipo de administración accede a /dana-admin/
  desde una IP no documentada en el allowlist de gestión, si hay escaneos de
  vulnerabilidades autorizados contra el propio portal, o si el fabricante
  corre chequeos de salud automatizados contra esas mismas rutas. Antes de
  usarlas en modo de bloqueo, córranlas una semana en modo de solo alerta y
  construyan el allowlist de IPs de administración legítimas a partir de
  esos resultados.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================