==============================================================================
  ANCI CONFIRMA EXPLOTACIÓN ACTIVA DE FALLA EN VPN GLOBALPROTECT
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cve-2026-0257-bypass-autenticacion-globalprotect-palo-alto
  Publicado:   2026-09-08  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 06:28  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de autenticación del portal y gateway GlobalProtect (PAN-OS)
  · CommonSecurityLog (CEF) si PAN-OS se reenvía vía conector Syslog a Sentinel
  · Logs de sesión VPN / NetFlow del firewall perimetral

==============================================================================
  REGLA 1 de 4   ·   SIGMA (canonica, neutral)
  Autenticación GlobalProtect vía cookie de anulación (posible explotación CVE-2026-0257)
==============================================================================
  Requiere: Los nombres de campo (Stage, AuthMethod, Status) son la forma canónica del hallazgo; confírmelos contra una muestra real de sus logs de GlobalProtect antes de desplegar, porque varían según el perfil de reenvío configurado en PAN-OS.

title: Autenticación GlobalProtect vía cookie de anulación (posible explotación CVE-2026-0257)
id: b6f0e3c2-8a1d-4c9f-9e2a-517c3f9d0b46
status: experimental
description: Detecta autenticaciones exitosas en el portal o gateway GlobalProtect donde el método registrado es la cookie de anulación de autenticación, consistente con el vector de CVE-2026-0257.
references:
    - https://csirt.gob.cl/alertas/AVC26-00725/
author: Vantis
date: 2026-09-04
logsource:
    category: application
    product: paloalto
    service: globalprotect
detection:
    selection:
        Stage: 'Auth'
        AuthMethod: 'Cookie'
        Status: 'success'
    condition: selection
fields:
    - SourceIP
    - User
    - Portal
    - Gateway
    - ClientOS
falsepositives:
    - Reautenticación legítima mediante cookie de sesión de un usuario que ya completó MFA recientemente
    - Roaming de dispositivos administrados con cookie de anulación habilitada por diseño
level: high

==============================================================================
  REGLA 2 de 4   ·   MICROSOFT SENTINEL - KQL
  GlobalProtect - autenticación vía cookie de anulación
==============================================================================
  Requiere: Conector de Palo Alto Networks (CEF vía Syslog collector) alimentando CommonSecurityLog. Validar el mapeo exacto de campos con el fabricante del conector antes de usar en producción.

CommonSecurityLog
| where DeviceVendor == "Palo Alto Networks" and DeviceProduct has "GlobalProtect"
| where Message has "Auth Method: Cookie" or AdditionalExtensions has "AuthMethod=Cookie"
| where Activity has "success"
| project TimeGenerated, SourceIP, DestinationHostName, SourceUserName, DeviceAction, Message

==============================================================================
  REGLA 3 de 4   ·   SPLUNK - SPL
  GlobalProtect - autenticación vía cookie de anulación
==============================================================================
  Requiere: Palo Alto Networks App for Splunk instalado, con logs de GlobalProtect reenviados bajo sourcetype pan:globalprotect.

index=network sourcetype=pan:globalprotect auth_method=Cookie status=success
| stats count min(_time) as primer_evento max(_time) as ultimo_evento by user, src_ip, portal, gateway
| where count > 0

==============================================================================
  REGLA 4 de 4   ·   IBM QRADAR - AQL
  GlobalProtect - autenticación vía cookie de anulación
==============================================================================
  Requiere: DSM de Palo Alto Networks GlobalProtect habilitado y logs de autenticación reenviados al Event Collector.

SELECT DATEFORMAT(devicetime,'YYYY-MM-dd HH:mm:ss') AS event_time, sourceip, username, payload
FROM events
WHERE devicetype = 'Palo Alto Networks GlobalProtect'
AND payload ILIKE '%Auth Method: Cookie%'
AND payload ILIKE '%Status: success%'
LAST 24 HOURS

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  El uso legítimo de la cookie de anulación (por ejemplo, 'recordar sesión'
  tras un MFA reciente, o roaming de equipos administrados) produce el mismo
  patrón. Antes de accionar sobre una alerta, cruce la IP de origen y el
  horario contra el comportamiento habitual del usuario; si no hay
  antecedente de esa IP para esa cuenta, la prioridad de investigación sube.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================