威胁情报复盘：PAN-OS CVE-2024-3400 在野利用后，如何排查 VPN 边界到内网的失陷链路

发布于18小时前18小时

背景：这起在野利用事件，不能只按“VPN 漏洞”处理

2024 年 4 月 12 日，Palo Alto Networks 披露 PAN-OS GlobalProtect 相关命令注入漏洞 CVE-2024-3400。该漏洞已出现针对性在野利用，并被美国 CISA 纳入已知被利用漏洞目录（KEV）。本文复盘这一已公开事件，重点讨论授权排查与处置，不代表近期新增漏洞通报。

漏洞涉及特定 PAN-OS 10.2、11.0、11.1 版本及 GlobalProtect 配置，攻击者可能在无需认证的情况下，以 root 权限在设备上执行代码。厂商后续修订特别指出：设备遥测是否开启，并不是判断是否受影响的必要条件。仅凭“关闭了遥测”得出安全结论，是这次事件中值得警惕的误区。

对蓝队而言，重点不只是外网入口有没有异常请求，而是 VPN 设备上的配置、认证材料与网络访问能力，是否已经成为进入内网的跳板。

问题定位：先确认暴露面，再划定调查窗口

以一个常见环境为例：企业使用 GlobalProtect 提供远程接入，设备能够访问内部 DNS、目录服务和认证服务器，同时向集中平台发送流量日志。排查应先回答三个问题：

事件窗口内实际运行的 PAN-OS 版本是什么，是否配置了 GlobalProtect gateway 或 portal？不要只看升级后的当前版本。
相关服务是否曾对互联网开放？同时核对上游 NAT、负载均衡、云安全组与历史配置，不能只看设备当前接口策略。
设备自身及 VPN 地址池分别能够访问哪些内网区域？管理平面、设备发起的连接和用户隧道流量需要分开分析。

调查窗口应覆盖最早可能暴露时间至完成隔离、修复和凭据处置之后。若日志留存不足，应明确记录证据缺口，不能把“没有查到”写成“没有入侵”。

技术分析：入口漏洞和内网影响是两条证据链

公开分析将漏洞利用与设备上的文件写入、后续命令执行联系起来。Unit 42 还披露了与该事件相关的 Operation MidnightEclipse 活动。落到企业排查时，建议把证据分成三层：

入口层：GlobalProtect 相关请求、异常路径及厂商指定检查项。普通访问日志可能没有完整请求头或请求体，无法保证还原利用过程。
设备层：异常文件、计划任务、进程执行、对外下载及配置变更。优先按厂商指导保存技术支持文件和相关证据，不建议为了检查而随意修改底层系统。
内网层：设备地址或 VPN 地址池是否出现新的目标、新的认证行为，以及成功连接后的权限变化。

第三层尤其容易漏查。例如，VPN 设备访问既有 RADIUS 服务可能是正常业务；同一设备突然访问文件服务器的 SMB，或连接此前未访问过的管理网段，就应结合历史基线继续确认。但异常端口连接本身仍不足以证明横向移动。

操作步骤：把边界日志与内网日志接起来

先保存证据：导出历史配置、版本与升级记录、GlobalProtect 日志、流量日志、集中认证记录，以及厂商要求的技术支持文件。记录设备时区和 NTP 状态。
再查边界出站：从 NetFlow、上游防火墙、DNS 和代理日志中，检查设备地址是否出现陌生外联、异常域名及非预期下载。不要只依赖可能已经失陷的设备自身日志。
再查内网访问：以设备地址、VPN 地址池为入口，寻找首次出现的目标组合，并与运维变更单、远程接入会话对应。
最后查认证结果：在目标 Windows 主机上关注 4624、4625、4648、4672 等事件，核对账号、源地址、登录类型和时间。4624 的类型 3 表示网络登录，不能单独认定为远程桌面或恶意行为。

注意地址归属：设备管理地址、隧道客户端地址与 NAT 后地址不是同一个概念。多个客户端经过 SNAT 时，需要原始地址和转换映射；仅凭一个源 IP，不能直接归因到某个账号。

命令示例：离线筛查边界设备到内网的异常访问

下面脚本处理已经导出的流量 CSV，不向生产网络发送探测。先将字段归一化为 time、src、dst、dport、action。设备原生导出的字段名可能不同，应先做字段映射。

把 sources 改成实际设备地址或 VPN 地址池，把 internal 改成真实内网范围。示例地址仅作占位；输出用于缩小调查范围，不是入侵判定。设备自身流量未必进入普通流量日志，必要时改用上游采集数据。

import csv
import ipaddress
from collections import Counter

sources = [
    ipaddress.ip_network('192.0.2.10/32'),  # 替换为设备实际地址
    ipaddress.ip_network('10.250.0.0/24'),  # 替换为 VPN 地址池
]
internal = [ipaddress.ip_network('10.0.0.0/8')]
watch_ports = {22, 88, 135, 389, 445, 636, 3389, 5985, 5986}
counts = Counter()

with open('traffic.csv', encoding='utf-8-sig', newline='') as f:
    for row in csv.DictReader(f):
        try:
            src = ipaddress.ip_address(row['src'].strip())
            dst = ipaddress.ip_address(row['dst'].strip())
            port = int(row['dport'])
        except (ValueError, KeyError):
            continue
        if not any(src in net for net in sources):
            continue
        if not any(dst in net for net in internal):
            continue
        if port not in watch_ports:
            continue
        action = row.get('action', '').strip().lower()
        counts[(str(src), str(dst), port, action)] += 1

print('src,dst,dport,action,records')
for key, count in counts.most_common():
    print(','.join(map(str, (*key, count))))

运行方式：python3 triage_flows.py。建议分别处理事件窗口和历史基线，比较新增的源地址、目的地址与端口组合。这里统计的是日志记录数，不一定是连接数；开始日志、结束日志和重复采集都会影响结果。

对命中的连接继续查目标主机：是否有成功认证、共享访问、服务创建或计划任务变更。Windows 5140、5145 等共享访问事件需要相应审计配置，历史上未开启就不能事后补出证据。

风险与修复建议：补丁关闭入口，不自动消除后果

按厂商公告的版本矩阵选择修复版本。PAN-OS 不同维护分支对应不同热修复，不宜用一个版本号概括所有升级路径。
无法立即升级时，只采用厂商当前公告认可的缓解措施，并核对内容更新、策略绑定和实际命中情况。不要把关闭遥测当作有效替代。
如果存在设备失陷迹象，按厂商支持流程评估重建或恢复可信状态。仅删除可疑文件或完成升级，不足以证明设备恢复可信。
按实际暴露范围轮换设备管理员凭据、服务账号及可能泄露的密钥材料；是否撤销证书，应结合私钥是否存储于设备、是否可能被访问来决定。
收紧设备自身到内网的访问权限。用户接入规则不能替代管理平面与设备出站控制；认证、DNS、日志转发等依赖应建立明确白名单。

总结与公开来源

CVE-2024-3400 的处置重点，是把“互联网入口被利用”和“内网权限被使用”连成可验证的时间线。版本核对解决暴露面问题，设备取证解决执行问题，认证与流量关联解决影响范围问题，三者不能互相替代。

公开来源：厂商安全公告；Unit 42 的 Operation MidnightEclipse 分析；CISA KEV 目录。实际处置应以厂商持续修订的公告和组织现场证据为准。

17小时前17小时

排查时建议把“漏洞利用”和“VPN 身份登录”分开看：CVE-2024-3400 利用不等于攻击者一定先拿到了 VPN 账号，单看 GlobalProtect 登录成功记录容易漏掉前置利用。先确认受影响设备在事件时段是否同时启用了 GlobalProtect Gateway、设备遥测，以及是否运行易受影响的 PAN-OS 版本；再按时间线关联防火墙的 System、Threat、Traffic、GlobalProtect 日志。重点看异常管理面访问、进程或服务报错、配置变更，以及设备向不常见外部地址发起的 DNS、HTTP/HTTPS 连接。PAN-OS CLI 可先导出相关日志，例如：

show log system direction equal backward
show log threat direction equal backward
show log traffic direction equal backward
show log globalprotect direction equal backward

具体筛选字段会受 PAN-OS 版本和日志类型影响，建议从设备导出原始日志后按时间、源地址、目的地址和会话 ID 关联，避免只依赖界面里的摘要。边界侧确认可疑设备对外通信后，再用对应时间窗查 VPN 地址池分配、认证日志和会话记录，并将分配到的 VPN 地址映射到内网流量：重点检查首次访问的内部主机、异常 SMB/RDP/SSH/WinRM 连接、DNS 查询，以及后续横向移动和凭据使用。若设备本身疑似被控，日志可能不完整，应保全设备与集中日志、配置备份及相关终端证据，再进行清理；同时按厂商公告升级到修复版本，不能只靠阻断单个 IOC 结案。

登录