==============================================================================
  FALLA CRÍTICA EN HITACHI ENERGY ASSET SUITE EXPONE SERVLETS SIN AUTENTICACIÓN
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/hitachi-energy-asset-suite-acceso-no-autenticado-servlets
  Publicado:   2026-10-09  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-12 05:40  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de acceso del servidor de aplicaciones donde corre Asset Suite (WebLogic/Tomcat access log)
  · Logs de proxy inverso / WAF frente a la aplicación, si existe
  · Logs de firewall perimetral o de segmentación OT/IT para el segmento donde reside Asset Suite

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible acceso directo no autenticado a servlets de Asset Suite
==============================================================================
  Requiere: Logs del servidor de aplicaciones o del proxy inverso con URI completa y encabezado de cookies disponibles (campo cs-uri-stem / cs-cookie o equivalente).

title: Posible acceso no autenticado a servlet de Hitachi Energy Asset Suite
id: 3f29a7d4-6b1e-4c8a-9f2d-7e5b9c1a4f60
status: experimental
description: |
  Detecta solicitudes HTTP a rutas típicas de Asset Suite sin cookie de sesión
  previa (JSESSIONID), patrón conductual consistente con explotación de
  CVE-2026-7395 / CVE-2026-11796. CISA no publicó la ruta exacta del servlet
  vulnerable; esta regla debe ajustarse al endpoint real una vez identificado
  en el entorno del cliente.
references:
  - https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-03
author: Vantis
date: 2026/10/06
tags:
  - attack.initial-access
  - attack.t1190
logsource:
  category: webserver
detection:
  selection:
    cs-uri-stem|contains:
      - '/assetsuite'
      - '/AssetSuite'
      - '/servlet/'
  filter_session:
    cs-cookie|contains: 'JSESSIONID'
  condition: selection and not filter_session
falsepositives:
  - Integraciones API legítimas que no usan cookies de sesión de navegador
  - Escaneos de vulnerabilidad autorizados contra el mismo host
level: medium

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Acceso anómalo a servlets de Asset Suite sin sesión
==============================================================================
  Requiere: index=proxy o index=web con sourcetype access_combined (o equivalente) que incluya ruta y cookies de la solicitud.

index=proxy OR index=web sourcetype=access_combined
(uri_path="*assetsuite*" OR uri_path="*AssetSuite*" OR uri_path="*/servlet/*")
NOT cookie="*JSESSIONID*"
| stats count by src_ip, uri_path, user_agent
| where count > 5

==============================================================================
  REGLA 3 de 3   ·   MICROSOFT SENTINEL - KQL
  Solicitudes repetidas a Asset Suite sin cookie de sesión
==============================================================================
  Requiere: Firewall o proxy reenviando logs HTTP completos (URL y cookies) hacia CommonSecurityLog vía Azure Monitor Agent o CEF connector.

CommonSecurityLog
| where RequestURL has_any ("assetsuite", "AssetSuite", "/servlet/")
| where RequestURL !contains "JSESSIONID"
| summarize Hits = count() by SourceIP, RequestURL, DestinationHostName
| where Hits > 5

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Esta detección es conductual y experimental, no basada en IOCs
  confirmados: CISA no publicó indicadores de explotación activa. Puede
  generar falsos positivos con integraciones API legítimas que no manejan
  cookies de sesión de navegador, balanceadores de carga que reescriben
  encabezados, y escáneres de vulnerabilidad autorizados que prueban las
  mismas rutas. Ajustar el umbral de conteo y la lista de rutas al
  comportamiento normal del entorno antes de poner la regla en modo de
  alerta activa.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================