==============================================================================
  CUANDO EL PANEL QUE ADMINISTRA TUS FIREWALLS ES EL QUE ESTÁ COMPROMETIDO
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisco-fmc-zero-day-panel-maestro-firewall-chile
  Publicado:   2026-08-01  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 07:41  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Registros de auditoría del propio FMC: sesiones, despliegues y cambios de política
  · Sistema de archivos del servidor FMC, para el indicador publicado por Cisco
  · Registros de red independientes del FMC, por si la auditoría del propio panel fue alterada
  · Registros de autenticación, cruzando cuentas de bajo privilegio contra acciones administrativas

==============================================================================
  REGLA 1 de 3   ·   WAZUH / VERIFICACION EN HOST
  Verificación de compromiso en el servidor FMC
==============================================================================
  Requiere: Acceso por CLI en modo experto a cada instancia de FMC

# Verificacion de compromiso en cada instancia de FMC. Ejecutar por CLI de expert mode.

# 1. El indicador publicado por Cisco. Su ausencia NO descarta compromiso.
ls -la /var/tmp/license.tmp 2>/dev/null && echo "HALLAZGO: indicador presente"

# 2. Archivos creados o modificados en /var/tmp en los ultimos 60 dias
find /var/tmp -type f -mtime -60 -printf '%TY-%Tm-%Td %TH:%TM  %s  %p\n' | sort

# 3. Sesiones administrativas: buscar cuentas de bajo privilegio operando como admin
grep -iE 'login|session' /var/log/action_queue.log 2>/dev/null | tail -100

# 4. Cambios de configuracion fuera de ventana de cambio autorizada
grep -iE 'policy|access.?rule|deploy' /var/log/action_queue.log 2>/dev/null | tail -100

# 5. Cuentas locales del sistema, buscando altas que nadie reconozca
cat /etc/passwd | awk -F: '$3 >= 1000 {print $1, $3, $6, $7}'

==============================================================================
  REGLA 2 de 3   ·   SIGMA (canonica, neutral)
  Cambio de política fuera de ventana o por cuenta no autorizada
==============================================================================
  Requiere: Registros de auditoría de FMC enviados al SIEM

title: Cambio de politica en Cisco FMC fuera de ventana de cambio
id: 7e3c9a52-4b18-4d67-b02f-6a1d8f5c3e74
status: experimental
description: >
  El compromiso de FMC no se manifiesta como malware: se manifiesta como un cambio de
  regla que nadie pidio. Esta regla busca modificaciones de politica o despliegues
  ejecutados por cuentas de bajo privilegio o fuera del horario habitual.
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/08/01
logsource:
  product: cisco
  service: fmc
detection:
  cambio_de_politica:
    action|contains:
      - 'AccessPolicy'
      - 'PolicyDeploy'
      - 'NATPolicy'
      - 'PrefilterPolicy'
  cuentas_esperadas:
    user:
      - 'admin_red'
      - 'automatizacion_fw'
  condition: cambio_de_politica and not cuentas_esperadas
falsepositives:
  - Ajustar la lista cuentas_esperadas a los operadores reales de tu organizacion.
    Si esa lista no existe documentada, ese es el primer hallazgo.
level: high
tags:
  - attack.defense_evasion
  - attack.t1562.004

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Sesiones administrativas y cambios de regla fuera de horario
==============================================================================
  Requiere: index=cisco con sourcetype cisco:fmc

index=cisco sourcetype=cisco:fmc earliest=-90d
| eval accion = lower(coalesce(action, event_name, message_type))
| eval cambio_regla = if(match(accion, "(policy|access.?rule|deploy|nat)"), 1, 0)
| eval sesion_admin = if(match(accion, "(login|logon|session.?start)"), 1, 0)
| eval hora = strftime(_time, "%H")
| eval fuera_horario = if(hora < 7 OR hora > 20, 1, 0)
| where (cambio_regla=1 AND fuera_horario=1) OR sesion_admin=1
| stats count AS eventos, values(accion) AS acciones, values(src_ip) AS origenes,
        min(_time) AS primero, max(_time) AS ultimo by user
| convert ctime(primero) ctime(ultimo)
| sort - eventos

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de cambios de política va a marcar el trabajo legítimo del equipo
  de redes. Eso no es un defecto: el objetivo es que cada cambio tenga un
  responsable identificable. Ajusta la lista de cuentas esperadas a tus
  operadores reales.

  Y si esa lista no existe documentada en tu organización, ese es el primer
  hallazgo de este ejercicio, antes que cualquier CVE.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================