SOC L1 Threat Investigation: MikroTik RouterOS Multiple Exposed Services

Analista: Jonatan Alexander Guerrero Gomez | Ruolo Obiettivo: SOC L1 / Analista di Cybersecurity Junior Stato: Indagine Chiusa | Severità: Alta

Executive Summary

Esercizio proattivo di threat hunting che identifica un dispositivo MikroTik RouterOS esposto al pubblico con molteplici servizi esposti. L'indagine ha correlato il servizio Bandwidth-Test esposto sulla porta 2000/TCP con CVE-2018-1156, una vulnerabilità RCE ad alta severità. L'ulteriore esposizione del servizio VPN L2TP sulla porta 1701/UDP aumenta la superficie d'attacco. Questo caso dimostra le competenze di livello L1: scoperta di asset, enumerazione dei servizi, correlazione delle CVE e triage basato sul rischio.

1. Rilevamento e Scoperta Iniziale

Utilizzando Shodan, è stato identificato un dispositivo MikroTik esposto a internet con due servizi accessibili dalla rete pubblica. Il server Bandwidth-Test è noto per essere preso di mira e il servizio L2TP può essere sfruttato per attacchi di forza bruta o di tunneling se configurato in modo non corretto.

Evidenza - Shodan

Indicatori di Compromissione (IOC)

2. Correlazione delle Vulnerabilità e Valutazione del Rischio

Il servizio Bandwidth-Test esposto sulla porta 2000/TCP è stato correlato con CVE-2018-1156, una vulnerabilità di overflow del buffer basato su stack nelle versioni di MikroTik RouterOS precedenti alla 6.42.7. Sebbene il servizio L2TP sulla porta 1701/UDP non sia direttamente collegato a questa CVE, la sua esposizione pubblica amplia la superficie d'attacco e viene comunemente sfruttato per attacchi DoS o attacchi alle credenziali.

Evidenza - NIST NVD

Dettagli Tecnici Principali della CVE

3. Giudizio dell'Analista e Piano di Rimedio

Giudizio: Rischio confermato ad alta severità a causa di CVE_2018-1156 sul servizio Bandwidth-Test esposto. Un attaccante autenticato può ottenere l'esecuzione remota di codice. L'ulteriore esposizione di L2TP sulla porta 1701/UDP rappresenta una superficie d'attacco non necessaria e dovrebbe essere rivista per l'hardening.

Azioni Immediate Raccomandate:

1. Patch: Aggiornare RouterOS alla versione 6.42.7 o successiva per rimediare a CVE-2018-1156.
2. Hardening: Disabilitare il server Bandwidth-Test se non necessario: /tool bandwidth-server set enabled=no
3. Limitare: Limitare l'accesso L2TP sulla porta 1701/UDP con regole firewall solo ai peer VPN noti. Disabilitare se non in uso.
4. Audit: Rivedere tutti i servizi esposti e chiudere le porte non necessarie al perimetro.

4. Competenze e Metodologie Dimostrate

OSINT & Threat Hunting Shodan Querying Service Enumeration CVE & CVSS Analysis NIST NVD Research Attack Surface Analysis Risk-Based Triage Technical Writing Remediation Planning

Strumenti Utilizzati

• Shodan.io: Scoperta della superficie d'attacco ed enumerazione dei servizi
• NIST NVD: Dati autorevoli sulle vulnerabilità e sulla valutazione del rischio

---

Questo repository fa parte di un portfolio di cybersecurity che dimostra competenze pratiche di livello L1 SOC.