cyberbibs/soc274---palo-alto-networks-pan-os-command-injection-vulnerability-exploitation-cve-2024-3400-Schritt-für-Schritt-Anleitung für SOC-Analysten zur Untersuchung und Behebung von CVE-2024-3400 (PAN-OS-Befehlseinschleusung). Deckt Erkennung, Log-Analyse, Bedrohungsinformationen, Eindämmung und Behebung mit Artefakten und IOCs ab.
CVE‑2024‑3400 ist eine kritische (CVSS 10.0) Befehlsinjektions-Sicherheitslücke in der GlobalProtect-Funktion von Palo Alto Networks PAN‑OS, die erstmals am 12. April 2024 veröffentlicht wurde. github.com+10
Zur Untersuchung und Behebung des Alerts habe ich die folgenden Schritte unternommen;
Diese Schritte werden unten im Detail mit Bildern erklärt.
Die SOC-Ticket-Warteschlange ist eine kritische Komponente bei der Verwaltung und Reaktion auf Cybersicherheitsvorfälle. Die Gründe sind Incident Tracking und Management, Priorisierung und Triage, Verantwortlichkeit, Berichterstattung, Trendanalyse sowie Compliance und Prüfbereitschaft.
Jedes Ticket in der Warteschlange wird in der Regel einem bestimmten Analysten oder Team zugewiesen, wodurch eine klare Verantwortlichkeit und Zuständigkeit für die Incident-Lösung sichergestellt wird. Dies fördert einen strukturierten und organisierten Ansatz im Incident-Management. Ich habe den Besitz des Alerts mit EventID: 263 übernommen.
SOC-Hauptseite
Besitz übernehmen
Nach der Übernahme des Alerts wird dieser automatisch an den Untersuchungskanal gesendet, wo ich einen Fall zur weiteren Analyse und Reaktion auf den Sicherheitsvorfall initiieren kann. Ich habe einen Fall für den Alert erstellt und konnte die Details des Vorfalls einsehen.
Besitz übernehmen
Basierend auf den Informationen, die der Alert lieferte, scheint es, dass ein verdächtiger Web-Angriff auf einer Firewall mit dem Namen „PA-Firewall-01“ mit einer IP-Adresse 172.16.17.139 erkannt wurde. Der Alert wird durch SOC274 für die Ausnutzung der Palo Alto Networks PAN-OS-Befehlsinjektions-Sicherheitslücke (CVE-2024-3400) ausgelöst.
Besitz übernehmen
Um diesen Alert besser zu verstehen, habe ich Open-Source-Intelligence (OSINT) in Bezug auf die gemeldete CVE-2024-3400 und wichtige Informationen zu dieser CVE durchgeführt.
Besitz übernehmen
Als Nächstes führte ich Bedrohungsintelligenz unter Verwendung der von LetsDefend bereitgestellten Threat-Intelligence-Plattform durch, die eine umfassende Datenbank zur Katalogisierung bösartig genutzter Informationen wie IP-Adressen, Domains und anderer Indikatoren einer Kompromittierung unter Verwendung der Quell-IP-Adresse 144.172.79.92 bereitstellt.
Besitz übernehmen
Zusätzlich habe ich VirusTotal für Bedrohungsintelligenz zur selben IP-Adresse verwendet und festgestellt, dass die Malware von 10 Sicherheitsanbietern als bösartig markiert wurde und die Geolokalisierung der IP in den VEREINIGTEN STAATEN liegt.
Besitz übernehmen
Dies bestätigt, dass der Datenverkehr von der IP 144.172.79.92 bösartig ist. Daher muss ich weitere Untersuchungen durchführen, indem ich die Protokolle analysiere, um zu sehen, wie viele Hosts in meinem Netzwerk eine Kommunikation mit dieser bösartigen IP hatten.
Ich begann meine Analyse mit der Untersuchung der Zugriffsprotokolle. Dabei konzentrierte ich mich auf IP-Adressen, User-Agents, Pfade, HTTP-Statuscodes und Zeitstempel, um verdächtige oder bösartige Aktivitäten zu identifizieren.
Bevor ich den HTTP-Verkehr untersuchte, prüfte ich die Payloads, die zur Ausnutzung der relevanten Sicherheitslücke verwendet wurden. Ich fand diesen öffentlich verfügbaren POC (Proof of Concept), der von [CVE-2024–24919] in diesem GitHub-Repository verwendet wird: https://github.com/seed1337/CVE-2024-24919-POC/blob/main/exploit.py
Besitz übernehmen
Als Nächstes ging ich zur Log-Management-Seite und filterte die Protokolle nach der bösartigen Quell-IP-Adresse 203.160.68.12, um zu sehen, wie viele Hosts mit ihr in Kontakt standen. Bei der Suche im Netzwerk stellte ich fest, dass nur der Host namens „CP-Spark-Gateway-01“ mit einer IP-Adresse von 172.16.20.146 mit der bösartigen IP in Kontakt gestanden hatte.
Besitz übernehmen
Die folgenden Protokollinformationen zeigen, dass die bösartige IP-Adresse 172.16.20.146 die POST-Methode verwendete, um die bösartige Payload aCSHELL/../../../../../../../../../../etc/shadow zu senden – ein Versuch, die sensible Datei /etc/shadow durch Directory Traversal auf dem Host „CP-Spark-Gateway-01“ mit einer IP-Adresse von 172.16.20.146 am 06. Juni 2024 auszulesen.
Besitz übernehmen
Besitz übernehmen
Die Datei /etc/shadow ist eine kritische Datei in Unix/Linux-basierten Betriebssystemen, die gehashte Passwörter und Kontablaufdetails für Benutzerkonten speichert. Daher kann ich schlussfolgern, dass der Angreifer versucht, Benutzeranmeldeinformationen zu stehlen, und dass die Anfrage mit dem Statuscode 200 gewährt wurde, wie im obigen Protokoll zu sehen.
Dies beweist weiter, dass der Angriff bösartig ist.
Besitz übernehmen
Die Eindämmung spielt eine zentrale Rolle in der Cybersicherheit, indem sie die Auswirkungen von Sicherheitsvorfällen begrenzt, Daten und Betrieb schützt, eine effektive Incident-Reaktion erleichtert, Beweise für forensische Analysen sichert und die Einhaltung gesetzlicher und regulatorischer Anforderungen gewährleistet.
Da ich erkannt habe, dass das Gerät kompromittiert ist, habe ich das Gerät „CP-Spark-Gateway-01“ mit der IP-Adresse 172.16.20.146 isoliert, um weitere Schäden zu verhindern.
Besitz übernehmen
Besitz übernehmen
Die Behebung ist ein grundlegender Bestandteil einer robusten Cybersicherheitsstrategie. Sie umfasst die Behebung von Schwachstellen und die Adressierung von Sicherheitsproblemen, um eine Ausnutzung zu verhindern, Daten zu schützen, den Betrieb aufrechtzuerhalten und Vorschriften einzuhalten, was letztendlich zu einer sichereren und widerstandsfähigeren Organisation beiträgt. Um eine erneute Behebung und zukünftige Wiederholungen zu verhindern, sollten die folgenden Schritte unternommen werden:
Nach Abschluss der Analyse habe ich meine Ergebnisse im Abschnitt „Analyst Note“ dokumentiert.
Besitz übernehmen
Nach Abschluss meiner Untersuchung bin ich zu dem Schluss gekommen, dass der Alert ein echter Positivfall ist. Ich habe eine Abschlussnotiz verfasst, die die Ursache des Alerts, die Schritte, die ich zur Analyse des Alerts unternommen habe, das Ergebnis der Analysen, die ergriffenen Maßnahmen zur Behebung des Alerts und das erfolgreiche Schließen des Alerts erklärt.
Besitz übernehmen
