CVE-2024-27198 — مختبر SOC للكشف والاستجابة للحوادث

تجاوز المصادقة في JetBrains TeamCity | درجة CVSS: 9.8 (حرجة)

يبني هذا المشروع بيئة مختبر SOC كاملة لمحاكاة CVE-2024-27198 واكتشافها والاستجابة لها — وهي ثغرة تجاوز مصادقة في JetBrains TeamCity 2023.11.3 تُستغل باستخدام تقنيات الخلط بين المسارات.

بنية المختبر

البدء السريع

cd 1-lab-setup
docker-compose up -d

سلسلة الهجوم (MITRE ATT&CK)

الأدلة

خادم الضحية TeamCity (localhost:8111)

[لوحة تحكم TeamCity]

TeamCity 2023.11.3 يعمل كخادم الضحية — تم تأكيد أن هذا الإصدار هشّ>

Kibana SIEM — لوحة تحكم مراقبة SOC

[لوحة تحكم SOC في Kibana]

لوحة تحكم لمراقبة السجلات في الوقت الفعلي تعرض الخط الزمني لنشاط الهجوم (19 يونيو 2026)

قاعدة تنبيه Kibana — مفعّلة وقيد التشغيل

[قاعدة تنبيه Kibana]

قاعدة تنبيه كشف CVE-2024-27198 — مفعّلة، ويتم الفحص كل دقيقة

بنية المستودع

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # Full stack: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # Log pipeline with suspicious tag detection
│   └── kibana.yml              # Kibana configuration
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Sigma detection rule (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Suricata IDS rules (3 rules)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # Triage → Containment → Eradication
│   └── containment/
│       └── block-ip.sh                 # Auto IP blocking script
└── 4-evidence/
    └── screenshots/                    # Attack evidence (5 screenshots)

تغطية الكشف

قاعدة Sigma

تكتشف أنماط الخلط بين المسارات (?jsp=, ;.jsp) التي تستهدف نقاط نهاية REST API الخاصة بـ TeamCity مع استجابات HTTP 200.

قواعد Suricata IDS

خط أنابيب Logstash

يقوم تلقائيًا بوسم السجلات التي تحتوي على ; أو .jsp أو jsp= كـ suspicious وإعادة توجيهها إلى فهرس Elasticsearch teamcity-logs-*.

دليل الاستجابة للحوادث

انظر 3-incident-response/playbook/SOC-Playbook.md

المراجع

• NVD — CVE-2024-27198
• تحليل Rapid7
• MITRE ATT&CK T1190