国际威胁情报动态：PAN-OS CVE-2024-3400 利用复盘与边界设备排查清单

发布于16小时前16小时

近期多起国际入侵事件再次表明，攻击者会优先利用 VPN、防火墙等边界设备建立初始入口。以 PAN-OS GlobalProtect 命令注入漏洞 CVE-2024-3400 为例，公开调查显示，相关利用活动最早可追溯至 2024 年 3 月下旬，早于厂商公告发布时间。部分攻击者在取得设备权限后，没有长期停留在防火墙本身，而是迅速收集配置、认证信息并转向内网。

这类事件对蓝队的实际意义，不只是确认设备是否升级。边界设备通常缺少 EDR，系统日志也可能因滚动、重启或清理而丢失，因此需要结合版本、功能暴露面、设备支持包、上游访问日志和内网横向流量进行判断。

事件背景与影响范围

CVE-2024-3400 是 PAN-OS GlobalProtect 相关的未授权命令注入漏洞，成功利用后可能在设备上以高权限执行命令。最初的影响条件曾包含“启用设备遥测”，后续厂商更新了判断条件，遥测未启用不能作为排除依据。排查时应以厂商当前安全公告和设备实际配置为准，不要继续沿用早期情报中的单一条件。

重点版本分支包括 PAN-OS 10.2、11.0 和 11.1 的部分早期版本。
首批修复版本包括 10.2.9-h1、11.0.4-h1、11.1.2-h3，但这些只是当时的最低修复基线。
生产环境应升级到厂商当前推荐的维护版本，而不是停留在首个热修复版本。
存在 GlobalProtect portal 或 gateway 配置的公网设备，应优先核查。

漏洞验证应限制在自有或明确授权资产内。生产设备不建议发送命令注入载荷进行“复现”，版本、配置与日志取证已经能够完成大部分风险确认。确需主动验证时，应在隔离克隆环境中执行，并提前约定测试窗口、回滚方案和日志保留要求。

问题定位：先确认资产，再判断是否存在入侵

建议将“设备易受影响”和“设备已被利用”分开处理。版本命中只能证明存在攻击面，不能直接证明入侵；同样，未发现单个 IOC 也不能证明设备安全。

资产侧：确认序列号、PAN-OS 版本、管理地址、公网服务地址、GlobalProtect 配置和升级历史。
暴露侧：从外部资产清单、防火墙策略和云负载均衡配置中确认实际公网入口，不只依赖 CMDB。
日志侧：保留 system、config、authentication、GlobalProtect、traffic、threat 日志以及完整 tech-support 支持包。
内网侧：检查设备管理口、服务口是否在异常时间访问 LDAP、SMB、SSH、RDP、数据库或虚拟化管理平台。

设备侧核查步骤

先通过管理界面或 CLI 获取版本与配置状态。不要为了检查而重启设备，重启可能改变临时文件、进程和日志状态。发现异常后，应先导出支持包并记录文件哈希，再执行隔离或升级。

# 设备 CLI：确认版本、GlobalProtect 配置及近期变更
show system info
show config running | match global-protect
show log config direction equal backward
show log system direction equal backward

# 将 tech-support 包导出到取证工作站后离线分析
mkdir -p case-fw01
tar -xf tech-support.tgz -C case-fw01

# 下面的关键词用于线索发现，命中后仍需结合上下文确认
grep -RniE 'failed to unmarshal session|global-protect/portal/images|curl[[:space:]]|wget[[:space:]]|chmod[[:space:]]+[+]x|crontab' case-fw01 2>/dev/null

# 按时间检查近期新增或修改文件
find case-fw01 -type f -mtime -30 -printf '%TY-%Tm-%Td %TT %s %p\n' | sort

# 固化证据哈希
find case-fw01 -type f -exec sha256sum {} \; > case-fw01.sha256

“failed to unmarshal session”等字符串曾出现在相关调查和检测规则中，但它不是独立定罪依据。正常异常请求、扫描器探测也可能产生相似日志。应继续检查同一时间段是否出现文件写入、进程执行、配置导出、异常外联或内网访问。

SIEM 与上游访问日志关联

部分关键错误只存在于设备本地或支持包内，不一定进入集中日志平台。SIEM 查询适合确定时间线和关联行为，但不能替代设备取证。以下为 Splunk 风格示例，字段名需要按实际解析规则调整：

index=pan_* earliest=-30d
(sourcetype=pan:system OR sourcetype=pan:config OR sourcetype=pan:globalprotect)
| search message="*failed to unmarshal session*" OR message="*global-protect/portal/images*"
| stats min(_time) AS firstSeen max(_time) AS lastSeen values(message) AS events BY host src_ip user

如果 GlobalProtect 前方部署了负载均衡、反向代理或流量清洗设备，还应检查访问日志中的异常编码、路径穿越特征和短时间高频请求。查询时保留原始 URI，不要只分析解码后的字段，否则可能漏掉重复编码。

# 示例：从上游访问日志中筛选 GlobalProtect 路径及常见异常编码
zgrep -Ei 'global-protect.*(%2e%2e|%2f|%3b|%60|%24%28)' access.log* \
  | sort -k1,2 \
  > suspicious-globalprotect-requests.log

# 统计来源地址和请求量，识别扫描与集中利用行为
awk '{print $1}' suspicious-globalprotect-requests.log \
  | sort | uniq -c | sort -nr | head -50

来源 IP 只能作为辅助情报。云主机、代理节点和被控设备会频繁变化，不建议仅凭 IP 黑名单关闭事件。更可靠的判断是将可疑请求时间与设备日志、文件时间戳、DNS、NetFlow 和身份认证记录对齐。

内网攻防链路检查

边界设备失陷后的常见目标是获取配置中的凭据与信任关系。PAN-OS 配置可能涉及 LDAP 绑定账号、RADIUS/TACACS+、SNMP、证书、日志转发凭据和自动化接口。即使设备已完成升级，只要存在被利用可能，就需要继续处理凭据暴露风险。

检查事件窗口内由防火墙管理地址、HA 地址或服务地址发起的异常连接。
关注首次出现的 LDAP 查询、SMB 会话、SSH 登录、WinRM、RDP 和虚拟化管理接口访问。
检查管理员登录、API 调用、配置提交、本地账号新增和认证配置修改记录。
对比事件前后的配置快照，重点核查管理员、认证配置、策略、证书和日志转发目标。
检查同一来源地址是否随后登录 VPN、堡垒机、域账号或云控制台。

# 已导出的配置快照可先做结构化差异比较
xmllint --format baseline-config.xml > baseline.formatted.xml
xmllint --format current-config.xml > current.formatted.xml
diff -u baseline.formatted.xml current.formatted.xml > config-change.diff

# 从流量日志中筛选由设备地址发起的高价值管理连接
awk '$3 == "10.10.0.1" && $6 ~ /^(22|389|445|636|3389|5985|5986)$/ {print}' \
  normalized-flow.log > firewall-lateral-movement.log

风险分级与处置建议

仅版本受影响、未发现利用证据：立即升级，限制管理面来源，保留升级前日志与支持包，并继续监控至少一个完整日志周期。
发现异常请求但无执行证据：按高风险事件处理，核对请求后的设备错误、文件变化、配置导出和异常网络连接。
发现命令执行、异常文件或外联：隔离设备，保存支持包和网络证据，按设备失陷处理，不应只删除文件后恢复上线。
发现配置或凭据被访问：轮换 LDAP、RADIUS、TACACS+、SNMP、API 和自动化账号凭据，必要时重新签发证书并检查下游系统。

对于确认失陷的边界设备，更稳妥的恢复方式通常是使用可信镜像重装或按厂商流程恢复出厂状态，再导入经过审计的配置。直接在原系统上删除 IOC 无法排除持久化、系统组件篡改或日志破坏。

长期修复重点

将防火墙、VPN、邮件网关和文件传输设备纳入高优先级漏洞响应范围，单独设置补丁时限。
设备日志实时发送到独立存储，避免攻击者取得设备权限后同时删除本地和集中日志。
管理面使用独立网络，仅允许堡垒机或指定运维地址访问，并启用多因素认证。
为边界设备建立正常外联基线，对首次访问域控、文件服务器和管理平台的行为告警。
保存配置版本和哈希，确保事件发生后能够快速识别未授权变更。
定期验证日志字段、时间同步和留存周期，避免真正发生事件时才发现日志未采集。

总结

CVE-2024-3400 的价值不只在于单个漏洞本身，它反映了当前国际攻击活动的共同趋势：利用边界设备快速取得高权限，再借助配置中的凭据和网络信任进入内网。有效排查应同时覆盖版本与暴露面、设备本地证据、上游请求、集中日志和内网横向行为。完成升级只是第一步；一旦存在利用迹象，还需要重建可信设备、轮换相关凭据，并确认攻击链没有延伸到身份系统和核心服务器。

14小时前14小时

这类事件排查建议不要只盯公开 IOC。CVE-2024-3400 的利用链可以做到任意文件写入并触发命令执行，攻击者也可能清理日志或修改时间戳；“没搜到某个文件名”不能作为未失陷结论。

实际处置可以按下面顺序做：

先确认暴露面和版本。重点是启用了 GlobalProtect Gateway/Portal 的 PAN-OS 10.2、11.0、11.1 设备。通过 CLI 保留版本、运行时间和 HA 状态：
```
show system info
show high-availability state
show jobs all
show session info
```
不要把“已关闭 Device Telemetry”当作充分缓解条件，后续分析已表明实际利用条件不应只按早期公告判断。最终还是升级到官方修复版本或当前分支最新维护版本。
在隔离或限制管理面的前提下先取证，再重启/升级。导出 tech support file、配置快照、system/config/threat/traffic/GlobalProtect 日志，同时保留上游防火墙、负载均衡和 DNS 日志。设备本地日志可能被覆盖，上游日志通常更适合还原攻击源和回连目标。
离线检查异常文件和命令痕迹。在解压后的 tech support 包中搜索 Web 目录临时文件、异常 cron/systemd 内容、下载执行命令及反向连接特征：
```
grep -RniE 'wget|curl|chmod|/bin/(ba)?sh|python|perl|nc[[:space:]]|socat|base64[[:space:]]+-d' extracted_tsf/
find extracted_tsf/ -type f \( -path '*sslvpndocs*' -o -path '*global-protect*' \) \
  -printf '%TY-%Tm-%Td %TH:%TM:%TS %s %p\n' | sort
grep -RniE 'SESSID|global-protect|portal/images|../../../|%2e%2e' extracted_tsf/
```
这里更值得关注的是时间线：文件创建后短时间内是否出现外联、配置导出、管理员登录或日志清理，而不是单个文件名。
做网络侧关联。以设备管理口、数据口地址为源，回查升级前至少 30 天的出站连接，重点关注非常用国家/ASN、非常用端口、动态 DNS、新注册域名，以及防火墙设备主动发起的 HTTP(S)/SSH/DNS。边界设备平时主动外联较少，基线偏差往往比公开 IOC 命中更有效。
检查配置和凭据影响。对比已知良好配置，关注新增管理员、认证配置、证书、GlobalProtect 脚本、策略和日志转发目标。若确认执行过任意命令，应按“设备已完全失陷”处理：轮换本地管理员、LDAP/RADIUS/TACACS、API Key、证书私钥及可能存储在设备上的服务凭据。

处置上，单纯打补丁只能阻断再次利用，不能清除既有持久化。若发现命令执行、未知文件或可疑外联，建议按厂商事件响应指引执行恢复/重建；HA 两台需要分别核验，不能默认备用节点安全。恢复配置时也应使用已知良好的纯配置备份，不要直接回灌可疑设备的完整状态包。

另外可以在入口侧临时限制 GlobalProtect 访问源，并确认 Threat Prevention 针对此漏洞的签名处于阻断状态，但这只能作为过渡措施，不能替代版本修复和失陷排查。

登录