cyberbibs/event-id-263-arbitrary-file-read-on-checkpoint-security-gateway-cve-2024-24919-CVE-2024-24919（Check Pointゲートウェイにおける任意のファイル読み取り）のSOCインシデント対応手順をステップバイステップで説明します。検出、分析、封じ込め、およびIOCを用いた修復を網羅しています。
CVE-2024-24919 は、Check Point Security Gateways における深刻なゼロデイ脆弱性であり、認証されていないリモートの攻撃者が影響を受けるシステムから任意のファイルを読み取ることを可能にします。2024年5月に発見され、実際に悪用されているこの欠陥は、リモートアクセスVPNまたはモバイルアクセスブレードが有効になっているデバイスを標的としています。攻撃者はこの脆弱性を悪用して、パスワードハッシュやSSHキーなどの機密ファイルにアクセスし、システム全体の完全な侵害につながる可能性があります。その深刻度と悪用状況のため、即時のパッチ適用と緩和措置が強く推奨されます。
アラートを調査および修復するために、以下の手順を実施しました。
これらの手順については、画像とともに以下で詳しく説明します。
セキュリティオペレーションセンター（SOC）のチケットキューは、サイバーセキュリティインシデントの管理と対応において重要なコンポーネントです。その理由は、インシデントの追跡と管理、優先順位付けとトリアージ、説明責任、報告、傾向分析、コンプライアンスおよび監査対応です。
キュー内の各チケットは通常、特定のアナリストまたはチームに割り当てられ、インシデント解決に対する明確な責任と説明責任が確保されます。これにより、構造化され組織化されたインシデント管理へのアプローチが促進されます。私は EventID: 263 のアラートの所有権を取得しました。
アラートの所有権を取得すると、自動的に調査チャネルに送信され、そこでセキュリティインシデントをさらに分析および対応するためのケースを開始できます。私はアラートのケースを作成し、インシデントの詳細を確認することができました。
アラートが提供した情報に基づくと、IPアドレス172.16.20.146のサーバー「CP-Spark-Gateway-01」で不審なWeb攻撃が検出されたようです。アラートは、Checkpoint Security Gateway [CVE-2024–24919] の任意ファイル読み取りのSOC287ルールによってトリガーされ、デバイスのアクションは許可されました。
このアラートをよりよく理解するために、報告されたCVE-2024–24919とCVEに関する重要な情報について、オープンソースインテリジェンス（OSINT）を実施しました。
次に、LetsDefendが提供する脅威インテリジェンスプラットフォームを使用して脅威インテリジェンスを実施しました。このプラットフォームは、送信元IPアドレス203.160.68.12を使用して、IPアドレス、ドメイン、その他の侵害指標（IOC）など、悪意のある情報をカタログ化するための専用データベースを提供します。
さらに、同じIPアドレスに対してVirusTotalを使用して脅威インテリジェンスを実施し、4つのセキュリティベンダーによってマルウェアが悪意のあるアクティビティとしてフラグ付けされ、IPの地理位置情報が香港であることを確認しました。
これにより、IPアドレス203.160.68.12からのトラフィックが悪意のあるものであることが確認されました。したがって、ログを分析して、ネットワーク内のどのホストがこの悪意のあるIPと通信したかを確認するために、さらなる調査を実施する必要があります。
アクセスログを調査することから分析を開始しました。IPアドレス、ユーザーエージェント、パス、HTTPステータスコード、タイムスタンプに焦点を当てて、不審または悪意のあるアクティビティを特定するのに役立てました。
HTTPトラフィックを調査する前に、関連する脆弱性の悪用に使用されたペイロードを調査しました。このGitHubリポジトリ https://github.com/seed1337/CVE-2024-24919-POC/blob/main/exploit.py で、[CVE-2024–24919] によって使用される公開されているPOC（概念実証）を見つけました。
次に、ログ管理ページに進み、悪意のある送信元IPアドレス203.160.68.12でログをフィルタリングし、そのIPと接触したホストの数を確認しました。ネットワークを検索した結果、IPアドレス172.16.20.146のホスト「CP-Spark-Gateway-01」のみが悪意のあるIPと接触していたことがわかりました。
以下のログ情報は、悪意のあるIPアドレス172.16.20.146がPOSTメソッドを使用して悪意のあるペイロード aCSHELL/../../../../../../../../../../etc/shadow を送信したことを示しています。これは、2024年6月6日にIPアドレス172.16.20.146のホスト「CP-Spark-Gateway-01」で、ディレクトリトラバーサルを介して機密の /etc/shadow ファイルを読み取ろうとする試みです。
/etc/shadow ファイルは、Unix/Linuxベースのオペレーティングシステムにおいて、ユーザーアカウントのハッシュ化されたパスワードとアカウント有効期限の詳細を保存する重要なファイルです。したがって、攻撃者がユーザー認証情報を盗もうとしており、上記のログで確認されたようにリクエストが200ステータスコードで許可されたと結論付けることができます。
これは、攻撃が悪意のあるものであることをさらに証明しています。
封じ込めは、セキュリティインシデントの影響を制限し、データと運用を保護し、効果的なインシデント対応を促進し、フォレンジック分析のための証拠を保存し、法的および規制要件への準拠を確保することにより、サイバーセキュリティにおいて極めて重要な役割を果たします。
デバイスが侵害されたことを検出したので、さらなる被害を防ぐために、IPアドレス172.16.20.146のデバイス「CP-Spark-Gateway-01」を隔離しました。
修復は、堅牢なサイバーセキュリティ戦略の基本要素です。これには、脆弱性を修正し、セキュリティ問題に対処して悪用を防止し、データを保護し、運用を維持し、規制に準拠することが含まれ、最終的にはより安全で回復力のある組織に貢献します。将来の再発を修復および防止するために、以下の手順を実行する必要があります。
分析を完了した後、「アナリストノート」セクションに調査結果を文書化し、アーティファクトとIOCを報告しました。
調査を終えた後、このアラートは真陽性であると結論付けました。アラートの原因、分析のために取った手順、分析結果、修復のために取った手順を説明するクローズノートを作成し、アラートを正常にクローズしました。
