Chasser la compromission d'un équipement de bordure avec Velociraptor

Les articles précédents de cette série ont couvert une vague continue de vulnérabilités d'équipements de bordure : SonicWall, Check Point, SimpleHelp, Palo Alto, Citrix. Le rapport DBIR 2026 confirme la tendance, et les chiffres du terrain sont sans appel : les services d'accès distant ont servi de point d'entrée à 87 pour cent des sinistres rançongiciel, les compromissions de VPN à elles seules représentant 73 pour cent des intrusions où le vecteur d'entrée a été identifié. La question, pour une équipe de défense, n'est donc plus seulement « comment détecter l'exploitation », mais « comment chasser ce qui a déjà pénétré ».

Le schéma post-compromission d'une intrusion par la bordure

L'équipe DFIR de SentinelOne a documenté plusieurs incidents où des pare-feux ont été compromis pour établir une tête de pont. Le schéma est instructif. L'exploitation permet d'extraire le fichier de configuration de l'appliance, qui contient fréquemment des identifiants de comptes de service et des informations précieuses sur la topologie du réseau. L'attaquant utilise ensuite le compte de service de l'appliance pour pivoter dans le réseau interne, T1133 suivi de T1078 (Valid Accounts). À grande échelle, la campagne FortiBleed a ainsi moissonné les identifiants de plus de 86 000 équipements FortiGate à travers le monde.

Une fois à l'intérieur, plusieurs traces apparaissent : des connexions du compte de service de l'appliance depuis des postes qui n'ont aucune raison de l'utiliser, l'apparition de noms de postes inconnus rejoignant le domaine, des comptes locaux créés, des tâches planifiées de persistance. Ces traces sont dispersées sur des dizaines ou des centaines d'hôtes. C'est exactement le problème que Velociraptor résout : chasser un artefact à l'échelle du parc, en une seule requête.

Pourquoi Velociraptor pour la chasse à l'échelle

Velociraptor est un outil de DFIR et de threat hunting open source qui interroge les points de terminaison à l'aide d'un langage de requête, VQL. Au lieu d'inspecter un hôte à la fois, on lance une chasse qui interroge simultanément tout le parc et remonte les seuls hôtes qui présentent l'artefact recherché. Pour une intrusion par la bordure, trois chasses sont prioritaires.

La première recherche les connexions du compte de service de l'appliance là où il ne devrait jamais apparaître. Si le compte de service de votre VPN ou pare-feu se connecte à un contrôleur de domaine ou à un serveur de fichiers, c'est une anomalie forte. La chasse consiste à extraire les événements de connexion et à filtrer sur ce compte.

name: Custom.Hunt.EdgeServiceAccountLogon
description: Recherche les connexions d un compte de service d appliance sur des hotes internes
parameters:
  - name: ServiceAccount
    default: svc-vpn
sources:
  - query: |
      SELECT Computer, EventTime, EventData.TargetUserName AS Account,
             EventData.IpAddress AS SourceIP, EventData.LogonType AS LogonType
      FROM parse_evtx(filename="C:/Windows/System32/winevt/Logs/Security.evtx")
      WHERE EventID = 4624
        AND Account =~ ServiceAccount
        AND LogonType IN ("3", "10")

La deuxième chasse vise les comptes locaux récemment créés et les noms de postes inconnus, marqueurs de la mise en place d'un accès persistant après le pivot. La troisième recherche les tâches planifiées suspectes sur l'ensemble des hôtes, un mécanisme de persistance classique après une intrusion.

Corréler avec les indicateurs de l'appliance

La chasse côté hôte gagne à être corrélée avec les traces côté appliance. Les journaux du VPN ou du pare-feu contiennent souvent le premier signal : une session établie sans authentification correspondante, une connexion depuis une adresse IP inhabituelle, un nom de poste évoquant un outil offensif. Le croisement se fait dans le temps : une session anormale sur l'appliance, suivie peu après d'une connexion du compte de service sur un hôte interne, dessine la chaîne complète du pivot.

Cette corrélation est la valeur ajoutée d'une réponse à incident structurée. Un signal isolé sur l'appliance peut être un faux positif ; le même signal suivi d'une activité du compte de service à l'intérieur du réseau est une intrusion à traiter en urgence.

De la chasse à la remédiation

Quand une chasse remonte des hôtes touchés, la remédiation suit une séquence précise. D'abord, isoler les hôtes concernés et l'appliance de bordure. Ensuite, faire tourner tous les identifiants extractibles de la configuration de l'appliance, en particulier les comptes de service, car ils sont la clé du pivot. Puis rechercher et supprimer la persistance sur les hôtes touchés, comptes locaux et tâches planifiées identifiés par les chasses. Enfin, ne rétablir l'appliance qu'une fois corrigée, car la remettre en service vulnérable rouvre la même porte.

La leçon de la vague 2026 est que la détection de l'exploitation et la chasse post-compromission sont indissociables. Un équipement de bordure exploité doit toujours déclencher une chasse interne, car l'accès initial n'est que la première étape. Disposer d'artefacts de chasse prêts à l'emploi, couvrant les schémas de pivot réellement observés, transforme une réponse à incident de plusieurs jours en une opération de quelques heures.

C'est ce que fournit le feed Velociraptor ThreatClaw : des artefacts de chasse et de collecte forensique construits sur les techniques de pivot et de persistance réellement observées, pour chasser à l'échelle du parc ce qui a franchi la bordure.