==============================================================================
  OCHO FALLAS NUEVAS EN CITRIX NETSCALER, DOS YA EXPLOTADAS COMO ZERO-DAY
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/citrix-netscaler-zero-days-rce-explotacion-activa-cisa-kev
  Publicado:   2026-09-29  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 07:07  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de firewall perimetral (permit/deny) con IP y puerto de destino
  · NetFlow o logs de firewall next-gen con dirección de conexión (inbound/outbound)
  · ns.log y sslvpn.log del appliance NetScaler, reenviados a syslog central

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Exposición de interfaz de gestión NetScaler a origen no confiable
==============================================================================
  Requiere: Reemplazar el CIDR de ejemplo (192.0.2.0/24) por los rangos reales de NSIP/SNIP de sus appliances NetScaler. Requiere que el firewall perimetral registre eventos allow, no solo deny.

title: Exposicion de interfaz de administracion NetScaler a origen no confiable
id: 7f3c9a2e-5d16-4b8a-91e0-6c2d4f8a01b3
status: experimental
description: Detecta conexiones permitidas hacia puertos tipicos de administracion de NetScaler ADC/Gateway (NSIP) desde una zona no confiable, superficie de riesgo directa para CVE-2026-88771/88772 y las seis CVEs relacionadas.
references:
  - https://www.cisa.gov/news-events/alerts/2026/09/27/critical-zero-day-vulnerabilities-exploited-citrix-netscaler-adc-gateway
author: Vantis
date: 2026/09/29
logsource:
  category: firewall
  product: other
detection:
  selection:
    dst_port:
      - 443
      - 3008
      - 3009
      - 9000
    dst_ip|cidr: '192.0.2.0/24'
    src_zone: 'untrusted'
    action: 'allow'
  condition: selection
falsepositives:
  - Escaneos de vulnerabilidades autorizados mal etiquetados como zona no confiable
  - Integraciones legitimas de terceros que administran el appliance de forma remota
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Tráfico saliente anómalo desde subred de appliances NetScaler
==============================================================================
  Requiere: Tabla CommonSecurityLog alimentada desde el firewall perimetral o desde Azure Firewall. Ajustar SourceIP al rango real de NSIP/SNIP y DestinationIP a la lista de destinos legítimos conocidos (actualizaciones Citrix, NTP, DNS).

CommonSecurityLog
| where DeviceVendor == "Citrix" or SourceIP in ("192.0.2.0/24")
| where CommunicationDirection == "Outbound"
| where DestinationIP !in ("200.1.1.0/24") // reemplazar por rango de destinos autorizados (Citrix Cloud, NTP, DNS internos)
| summarize count(), make_set(DestinationIP) by SourceIP, bin(TimeGenerated, 1h)
| where count_ > 5

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Conexiones entrantes a puertos de gestión NetScaler desde Internet
==============================================================================
  Requiere: index=firewall con campos action, dest_port, src_ip, dest_ip. Lookup netscaler_management_ips.csv debe crearse con el inventario propio de NSIP/SNIP (ver bloque de Identificar).

index=firewall dest_port IN (443,3008,3009,9000) action=allowed
| lookup netscaler_management_ips.csv dest_ip OUTPUT is_netscaler
| where is_netscaler="true"
| where NOT cidrmatch("10.0.0.0/8", src_ip) AND NOT cidrmatch("172.16.0.0/12", src_ip)
| stats count by src_ip, dest_ip, dest_port

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Las reglas basadas en tráfico saliente van a marcar tráfico legítimo de
  actualización de firmas, sincronización NTP/DNS y telemetría hacia Citrix
  Cloud si no se excluye explícitamente esos destinos en la whitelist.
  Constrúyala antes de poner la regla en modo de alerta activa, no después.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================