==============================================================================
  CISA AGREGA DOS FALLAS DE IVANTI CONNECT SECURE EXPLOTADAS AL KEV
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisa-suma-dos-fallas-ivanti-connect-secure-al-kev
  Publicado:   2026-11-02  (hora de Chile)
  Ambito:      global   ·   Criticidad: critica
  Descargado:  2026-11-02 14:00  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs del appliance Ivanti Connect Secure (acceso administrativo, autenticación, sesión)
  · Logs de firewall/proxy perimetral que registre tráfico hacia la interfaz de gestión del appliance
  · EDR o telemetría de red del segmento donde reside el appliance, si existe visibilidad de su tráfico saliente

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible acceso administrativo no autenticado a Ivanti Connect Secure (conductual, experimental)
==============================================================================

title: Acceso potencialmente no autenticado a interfaz administrativa Ivanti Connect Secure
id: 7e4a1b2c-3d5f-4e6a-8b9c-0d1e2f3a4b5c
status: experimental
description: |
    Deteccion por COMPORTAMIENTO, no por firma ni IOC. No existen indicadores de red publicos
    asociados a CVE-2026-111357 y CVE-2026-118527 al momento de publicar esta pieza. Esta regla
    busca solicitudes POST exitosas (2xx) hacia rutas administrativas del appliance Connect Secure
    sin que el mismo origen tenga registrado un identificador de sesion previo en la ventana de
    correlacion, patron consistente con la cadena reportada (missing authentication for critical
    function + identificadores de sesion predecibles). Debe ajustarse a la nomenclatura real de
    campos del proxy/WAF del ambiente antes de pasar a modo de alerta activa.
references:
    - https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
    - https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
logsource:
    category: proxy
    product: appliance
detection:
    selection_admin_path:
        c-uri|contains:
            - '/dana-admin/'
            - '/api/v1/'
        cs-method: 'POST'
        sc-status:
            - 200
            - 201
    filter_known_auth:
        session_id_present: true
    condition: selection_admin_path and not filter_known_auth
falsepositives:
    - Integraciones legitimas via API con autenticacion por token que el proxy no registra como session_id
    - Escaneos de salud o monitoreo autorizados contra la interfaz de administracion
    - Balanceadores que no propagan el header o campo de sesion hacia el log del proxy
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Solicitudes administrativas anómalas a Connect Secure vía CommonSecurityLog (conductual)
==============================================================================
  Requiere: Firewall/WAF perimetral frente al appliance enviando eventos a CommonSecurityLog con RequestURL, RequestMethod, DeviceAction y SourceUserName poblados.

// Deteccion conductual, experimental. No hay IOCs publicos para este caso.
// Ajustar DeviceVendor/DeviceProduct y nombres de campo a la integracion real del proxy/WAF.
CommonSecurityLog
| where DeviceVendor == "Ivanti" or DeviceProduct has "Connect Secure"
| where RequestURL has_any ("/dana-admin/", "/api/v1/")
| where RequestMethod == "POST"
| where DeviceAction in ("200", "201", "Allow")
| where isempty(SourceUserName)
| project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceAction, SourceUserName
| sort by TimeGenerated desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Acceso a rutas administrativas de Ivanti sin sesión asociada (conductual)
==============================================================================
  Requiere: index=proxy con campos uri_path, method, status y session_id poblados desde el proxy o WAF ubicado frente al appliance Connect Secure.

`comment("Deteccion conductual, experimental. Sin IOCs publicos conocidos para esta cadena al momento de publicar.")`
index=proxy (uri_path="*/dana-admin/*" OR uri_path="*/api/v1/*") method=POST status IN (200,201)
| where isnull(session_id) OR session_id=""
| stats count by src_ip, uri_path, status
| where count > 0

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Estas tres reglas son conductuales y experimentales: no existen hashes,
  IPs ni dominios públicos asociados a esta cadena de explotación al momento
  de publicar. Pueden generar falsos positivos con integraciones API
  legítimas que no propagan session_id al log del proxy, escaneos de
  monitoreo autorizados, y balanceadores o WAF que no registran el campo de
  sesión. Antes de activarlas como alerta, validar el nombre real de los
  campos de sesión en el ambiente y correr la regla en modo de solo registro
  (no bloqueo) durante al menos una semana.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================