インシデント分析: Check Point Security Gateway CVE-2024-24919 悪用試行

📌 エグゼクティブサマリー

2024年6月6日午後3時12分、セキュリティ監視システムが、Check Point Security Gateway（CP-Spark-Gateway-01、IP: 172.16.20.146）を標的とした高重大度の悪用試行アラートを発報しました。外部攻撃者（IP 203.160.68.12 から操作）は、CVE-2024-24919（任意ファイル読み取りの脆弱性）を悪用しようと試み、ディレクトリトラバーサルペイロード（aCSHELL/../../../../../../../../etc/passwd）を含む細工されたHTTP POSTリクエストを /clients/MyCRL エンドポイントに送信しました。

SIEM、ファイアウォールログ、OSログ、Webアクセスログにわたる徹底的なインシデントレスポンス調査の結果、/etc/passwd の初期ファイル読み取りは成功したものの（HTTPステータス 200 を返し、1256バイトのローカルシステムユーザーメタデータを取得）、その後のラテラルムーブメントや権限昇格の試行（/etc/shadow の標的化など）はブロックされた（403 Forbidden）ことが確認されました。さらに、システム監査と端末ログのレビューにより、リモートコード実行、リバースシェル、不正なユーザーアカウント作成などのポストエクスプロイテーション活動は存在しないことが確認されました。

🔍 調査結果と証拠

1. SIEMアラートと資産脆弱性マッピング

標的資産: Check Point Security Gateway（172.16.20.146）
検出トリガー: CVE-2024-24919 に関するSIEMルール SOC287（イベントID 263）
ペイロード構造: aCSHELL/../../../../../../../../etc/passwd を含む悪意のあるHTTP POSTリクエスト

SIEMアラート詳細

(上記: CVE-2024-24919 に関連する資産脆弱性マッピングと識別)

2. ファイアウォールトラフィックとイベント履歴

インシデント発生時間帯（午後3時12分〜午後3時30分）前後のファイアウォールトラフィックと運用履歴のレビュー

ファイアウォールログ

3. Webアクセスログ分析（`/var/log/access.log`）

侵害成功ベクター: /etc/passwd を読み取るリクエストはHTTP 200 OK ステータスを返し、システムアカウント情報のデータ漏えいが確認されました。
昇格試行の失敗: 関連する外部スキャナー（203.160.68.13）によるその後の /etc/shadow を標的とした試行は、HTTP 403 Forbidden レスポンスで正常に拒否されました。
バックグラウンドノイズの検証: 内部IPアドレス（192.168.x.x、10.x.x.x、172.16.x.x）からの標準的なHTTPリクエストを実行する同時エントリは、外部侵入とは完全に無関係な通常の企業ネットワーク活動として検証されました。

アクセスログ

(上記: ブロックされたアクセス試行とともに、成功したLFI実行を示す生のWebアクセスログ)

4. 資産タグ付けと脅威インテリジェンス

資産構成と攻撃者の送信元IPアドレス（203.160.68.12）の脅威インテリジェンスプラットフォームに対する検証

資産タグ付け脅威インテリジェンス

(上記: 悪意のある/不審な属性を確認するVirusTotalレピュテーションチェック)

🛡️ 是正措置と推奨事項

即時パッチ適用: 公式のCheck Pointホットフィックスまたはファームウェアアップグレードを適用して、CVE-2024-24919 を恒久的に修正します。
境界ブロック: 悪意のある外部送信元IP 203.160.68.12（AS 10099 - China Unicom Global）からのトラフィックをブロックするファイアウォールルールを適用します。
認証情報の衛生管理: 公開された設定ファイル内で特定された標準サービスおよびユーザーアカウントに対して、予防的なパスワードリセットを実行します。

Incident-Analysis-Response-Check-Point-Security-Gateway-CVE-2024-24919-LFI-Exploitation — Updated!

カテゴリ