تحقيق SOC L1 للتهديدات: خدمات متعددة مكشوفة على MikroTik RouterOS

المحلل: Jonatan Alexander Guerrero Gomez | الدور المستهدف: محلل SOC L1 / محلل أمن سيبراني مبتدئ الحالة: التحقيق مغلق | الخطورة: عالية

الملخص التنفيذي

تمرين استباقي لاصطياد التهديدات لتحديد جهاز MikroTik RouterOS مواجه للعموم مع خدمات متعددة مكشوفة. ربط التحقيق خدمة Bandwidth-Test المكشوفة على المنفذ 2000/TCP بثغرة CVE-2018-1156، وهي ثغرة تنفيذ برمجيات عن بُعد (RCE) عالية الخطورة. كما أن التعرض الإضافي لخدمة L2TP VPN على المنفذ 1701/UDP يزيد من سطح الهجوم. توضح هذه الحالة كفاءات مستوى L1: اكتشاف الأصول، تعداد الخدمات، ربط CVEs، والفرز القائم على المخاطر.

1. الاكتشاف والاكتشاف الأولي

باستخدام Shodan، تم تحديد جهاز MikroTik مكشوف على الإنترنت مع خدمتين يمكن الوصول إليهما من الإنترنت العام. من المعروف أن خادم Bandwidth-Test يُستهدف، ويمكن استغلال خدمة L2TP في هجمات القوة الغاشمة أو الأنفاق إذا لم يتم تكوينها بشكل آمن.

الدليل - Shodan

مؤشرات الاختراق (IOCs)

2. ربط الثغرات وتقييم المخاطر

تم ربط خدمة Bandwidth-Test المكشوفة على المنفذ 2000/TCP بثغرة CVE-2018-1156، وهي ثغرة تجاوز سعة المخزن المؤقت (stack buffer overflow) في إصدارات MikroTik RouterOS الأقدم من 6.42.7. وبينما لا ترتبط خدمة L2TP على المنفذ 1701/UDP مباشرةً بهذه الثغرة، فإن تعرضها للعموم يوسع سطح الهجوم، وغالبًا ما يُساء استخدامها في هجمات حجب الخدمة (DoS) أو هجمات سرقة بيانات الاعتماد.

الدليل - NIST NVD

التفاصيل الفنية الأساسية للثغرة (CVE)

3. حكم المحلل وخطة المعالجة

الحكم: تأكيد وجود خطر عالي الخطورة بسبب CVE-2018-1156 على خدمة Bandwidth-Test المكشوفة. يمكن لمهاجم مُصادَق تحقيق تنفيذ برمجيات عن بُعد. كما أن التعرض الإضافي لخدمة L2TP على المنفذ 1701/UDP يمثل سطح هجوم غير ضروري وينبغي مراجعته لتعزيز الحماية.

الإجراءات الفورية الموصى بها:

1. التحديث: ترقية RouterOS إلى الإصدار 6.42.7 أو أحدث لمعالجة CVE-2018-1156.
2. تعزيز الحماية: تعطيل خادم Bandwidth-Test إذا لم يكن مطلوبًا: /tool bandwidth-server set enabled=no
3. التقييد: قصر الوصول إلى L2TP على المنفذ 1701/UDP بقواعد جدار الحماية على أقران VPN معروفين فقط. وتعطيله إذا لم يكن مستخدمًا.
4. التدقيق: مراجعة جميع الخدمات المكشوفة وإغلاق المنافذ غير الضرورية عند الحدود الخارجية للشبكة.

4. المهارات والمنهجيات المُستعرضة

OSINT & Threat Hunting Shodan Querying Service Enumeration CVE & CVSS Analysis NIST NVD Research Attack Surface Analysis Risk-Based Triage Technical Writing Remediation Planning

الأدوات المستخدمة

• Shodan.io: اكتشاف سطح الهجوم وتعداد الخدمات
• NIST NVD: بيانات موثوقة لتقييم الثغرات وتسجيل المخاطر

---

هذا المستودع جزء من ملف أعمال في الأمن السيبراني يُظهر مهارات عملية على مستوى L1 في SOC.