==============================================================================
  LA VPN QUE DEJA ENTRAR SIN PREGUNTAR: EXPLOTACIÓN ACTIVA EN GLOBALPROTECT
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/globalprotect-cve-2026-0257-explotacion-activa-chile
  Publicado:   2026-07-22  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 07:00  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Registros de GlobalProtect del firewall: eventos de autenticación y de conexión al gateway
  · Registros del portal, con IP de origen y agente de usuario
  · Registros de tráfico del segmento asignado a los clientes VPN
  · Registros de autenticación del directorio corporativo, para cruzar sesión contra credencial

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Sesión VPN sin autenticación previa correspondiente
==============================================================================
  Requiere: Registros de GlobalProtect enviados al SIEM, con event_type diferenciado

title: Sesion VPN de GlobalProtect sin autenticacion previa correspondiente
id: 2b8e5f31-7a94-4c02-9d16-3e7f8a4b5c90
status: experimental
description: >
  Busca el sintoma central de CVE-2026-0257: una sesion de GlobalProtect establecida sin
  el evento de autenticacion que deberia precederla, resultado de aceptar una cookie de
  authentication override sin validar su integridad (CWE-565).
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/07/22
logsource:
  product: paloalto
  service: globalprotect
detection:
  sesion_establecida:
    event_type: 'gateway-connect'
  autenticacion_previa:
    event_type: 'auth-success'
  timeframe: 5m
  condition: sesion_establecida and not autenticacion_previa
falsepositives:
  - Reconexiones automaticas del cliente dentro de la vigencia de una sesion valida.
    Calibrar la ventana temporal contra el timeout configurado en tu portal.
level: critical
tags:
  - attack.initial_access
  - attack.t1190
  - attack.t1133

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Sesiones desde geografía nueva o fuera de horario
==============================================================================
  Requiere: SigninLogs de Entra ID con GlobalProtect integrado como aplicación

// Sesiones VPN anomalas: horario, geografia y usuarios que nunca usan VPN
let ventana = 45d;
let habitual = SigninLogs
    | where TimeGenerated > ago(180d) and TimeGenerated < ago(ventana)
    | summarize PaisesHabituales = make_set(Location, 20) by UserPrincipalName;
SigninLogs
| where TimeGenerated > ago(ventana)
| where AppDisplayName has "GlobalProtect" or ResourceDisplayName has "GlobalProtect"
| join kind=leftouter habitual on UserPrincipalName
| extend PaisNuevo = isnull(PaisesHabituales) or not(set_has_element(PaisesHabituales, Location))
| extend HoraLocal = datetime_add('hour', -4, TimeGenerated)
| extend FueraDeHorario = hourofday(HoraLocal) < 7 or hourofday(HoraLocal) > 21
| where PaisNuevo or FueraDeHorario
| project TimeGenerated, UserPrincipalName, Location, IPAddress, PaisNuevo,
          FueraDeHorario, ResultType
| order by TimeGenerated desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Sesiones sin evento de autenticación o con múltiples orígenes
==============================================================================
  Requiere: index=paloalto con sourcetype pan:globalprotect

index=paloalto sourcetype=pan:globalprotect earliest=-45d
| eval evento = lower(coalesce(log_subtype, event_id))
| stats values(evento) AS eventos, min(_time) AS inicio, max(_time) AS fin,
        dc(src_ip) AS ips, values(src_ip) AS origenes, values(public_ip) AS publicas
        by user, session_id
| eval sin_auth = if(isnull(mvfind(eventos, "auth")), 1, 0)
| eval multi_origen = if(ips > 1, 1, 0)
| where sin_auth=1 OR multi_origen=1
| convert ctime(inicio) ctime(fin)
| sort - inicio

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de «sesión sin autenticación previa» va a marcar reconexiones
  automáticas del cliente dentro de la vigencia de una sesión válida.
  Calibra la ventana temporal contra el timeout configurado en tu portal
  antes de escalar cada hallazgo.

  La de geografía marca legítimamente a quien viaja. No la descartes por
  eso: el punto no es bloquear, es que alguien mire. Un usuario que nunca
  sale de Chile conectándose de madrugada desde otro continente merece una
  llamada, no un ticket.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================