Investigation de Menaces SOC L1 : Services Exposés Multiples MikroTik RouterOS

Analyste: Jonatan Alexander Guerrero Gomez | Rôle Cible: SOC L1 / Analyste Cybersécurité Junior Statut: Investigation Clôturée | Sévérité: Élevée

Résumé Exécutif

Exercice de chasse aux menaces proactive identifiant un périphérique MikroTik RouterOS exposé publiquement avec plusieurs services exposés. L'investigation a corrélé le service Bandwidth-Test exposé sur le port 2000/TCP avec la CVE-2018-1156, une vulnérabilité RCE de haute sévérité. L'exposition supplémentaire du VPN L2TP sur le port 1701/UDP augmente la surface d'attaque. Ce cas démontre les compétences L1 : découverte d'actifs, énumération de services, corrélation de CVE et triage basé sur le risque.

1. Détection & Découverte Initiale

À l'aide de Shodan, un périphérique MikroTik exposé sur Internet a été identifié avec deux services accessibles depuis l'Internet public. Le serveur Bandwidth-Test est connu pour être ciblé et le service L2TP peut être exploité pour des attaques par force brute ou de tunneling si mal configuré.

Preuve - Shodan

Indicateurs de Compromission (IoC)

2. Corrélation des Vulnérabilités & Évaluation des Risques

Le service Bandwidth-Test exposé sur le port 2000/TCP a été corrélé avec CVE-2018-1156, une vulnérabilité de dépassement de tampon (stack buffer overflow) dans MikroTik RouterOS versions antérieures à 6.42.7. Bien que le L2TP sur le port 1701/UDP ne soit pas directement lié à cette CVE, son exposition publique élargit la surface d'attaque et est couramment abusée pour des attaques DoS ou par force brute sur les identifiants.

Preuve - NIST NVD

Détails Techniques de la CVE Principale

3. Verdict de l'Analyste & Plan de Remédiation

Verdict : Risque de sévérité élevée confirmé en raison de la CVE-2018-1156 sur le service Bandwidth-Test exposé. Un attaquant authentifié peut atteindre une exécution de code à distance. L'exposition supplémentaire du L2TP sur le port 1701/UDP représente une surface d'attaque inutile et doit être examinée pour renforcement.

Actions Immédiates Recommandées :

1. Correctif : Mettre à niveau RouterOS vers la version 6.42.7 ou ultérieure pour corriger la CVE-2018-1156.
2. Renforcer : Désactiver le serveur Bandwidth-Test s'il n'est pas nécessaire : /tool bandwidth-server set enabled=no
3. Restreindre : Limiter l'accès L2TP 1701/UDP avec des règles de pare-feu aux pairs VPN connus uniquement. Désactiver si inutilisé.
4. Auditer : Passer en revue tous les services exposés et fermer les ports inutiles au périmètre.

4. Compétences & Méthodologies Démontrées

OSINT & Chasse aux Menaces Requêtage Shodan Énumération de Services Analyse CVE & CVSS Recherche NIST NVD Analyse de Surface d'Attaque Triage Basé sur le Risque Rédaction Technique Planification de Remédiation

Outils Utilisés

• Shodan.io : Découverte de surface d'attaque et énumération de services
• NIST NVD : Données autoritatives de vulnérabilité et de notation de risque

---

Ce dépôt fait partie d'un portfolio en cybersécurité démontrant des compétences pratiques de niveau L1 SOC.