CVE-2024-27198 — Lab SOC di Rilevamento e Risposta agli Incidenti

Bypass dell'autenticazione in JetBrains TeamCity | Punteggio CVSS: 9.8 (Critico)

Questo progetto costruisce un ambiente SOC Lab completo per simulare, rilevare e rispondere a CVE-2024-27198 — una vulnerabilità di bypass dell'autenticazione in JetBrains TeamCity 2023.11.3 che utilizza tecniche di path confusion.

Architettura del Lab

Avvio rapido

cd 1-lab-setup
docker-compose up -d

Catena di attacco (MITRE ATT&CK)

Evidenze

Server vittima TeamCity (localhost:8111)

[Dashboard TeamCity]

TeamCity 2023.11.3 in esecuzione come server vittima — versione vulnerabile confermata>

Kibana SIEM — Dashboard SOC Monitor

[Dashboard SOC Kibana]

Dashboard di monitoraggio dei log in tempo reale che mostra la cronologia dell'attività di attacco (19 giugno 2026)

Regola di avviso Kibana — Attivata e in esecuzione

[Regola di avviso Kibana]

Regola di avviso per il rilevamento di CVE-2024-27198 — Attivata, controllo ogni 1 minuto

Struttura del repository

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # Full stack: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # Log pipeline with suspicious tag detection
│   └── kibana.yml              # Kibana configuration
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Sigma detection rule (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Suricata IDS rules (3 rules)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # Triage → Containment → Eradication
│   └── containment/
│       └── block-ip.sh                 # Auto IP blocking script
└── 4-evidence/
    └── screenshots/                    # Attack evidence (5 screenshots)

Copertura del rilevamento

Regola Sigma

Rileva pattern di path confusion (?jsp=, ;.jsp) che hanno come obiettivo gli endpoint dell'API REST di TeamCity con risposte HTTP 200.

Regole Suricata IDS

Pipeline Logstash

Contrassegna automaticamente i log che contengono ;, .jsp o jsp= come suspicious e li inoltra all'indice Elasticsearch teamcity-logs-*.

Playbook di risposta agli incidenti

Vedi 3-incident-response/playbook/SOC-Playbook.md

Riferimenti

• NVD — CVE-2024-27198
• Analisi di Rapid7
• MITRE ATT&CK T1190