cyberbibs/soc274---palo-alto-networks-pan-os-command-injection-vulnerability-exploitation-cve-2024-3400-
CVE‑2024‑3400 は、Palo Alto Networks PAN‑OS の GlobalProtect 機能における重大な (CVSS 10.0) コマンドインジェクションの脆弱性であり、2024年4月12日に初めて公開されました。 github.com+10
アラートを調査・修復するために、以下の手順を実行しました。
これらの手順は、以下で画像とともに詳しく説明されています。
セキュリティオペレーションセンター (SOC) のチケットキューは、サイバーセキュリティインシデントの管理と対応における重要な構成要素です。その理由は、インシデントの追跡と管理、優先順位付けとトリアージ、説明責任、報告、傾向分析、コンプライアンスと監査への準備です。
キュー内の各チケットは通常、特定のアナリストまたはチームに割り当てられ、インシデント解決に対する明確な責任と説明責任を確保します。これにより、インシデント管理に対する構造化された組織的なアプローチが促進されます。私は EventID: 263 のアラートのオーナーになりました。
SOCメインページ
オーナーシップの取得
アラートのオーナーになると、アラートは自動的に調査チャンネルに送信され、そこでセキュリティインシデントをさらに分析・対応するためのケースを開始できます。私はこのアラートのケースを作成し、インシデントの詳細を確認することができました。
オーナーシップの取得
アラートが提供した情報に基づくと、IPアドレス 172.16.17.139 の「PA-Firewall-01」という名前のファイアウォールで不審なWeb攻撃が検知されたようです。このアラートは、Palo Alto Networks PAN-OS コマンドインジェクション脆弱性の悪用 (CVE-2024-3400) について SOC274 によってトリガーされました。
オーナーシップの取得
このアラートをよりよく理解するために、報告された CVE-2024-3400 と、この CVE に関連する重要な情報についてオープンソースインテリジェンス (OSINT) を実施しました。
オーナーシップの取得
次に、ソースIPアドレス 144.172.79.92 を使用して、LetsDefend が提供する脅威インテリジェンスプラットフォームで脅威インテリジェンスを実施しました。このプラットフォームは、IPアドレス、ドメイン、その他の侵害インジケーター (IOC) など、悪意のある目的で使用される情報をカタログ化するための包括的なデータベースを提供します。
オーナーシップの取得
さらに、同じIPアドレスについて VirusTotal で脅威インテリジェンスを実施し、このマルウェアが10のセキュリティベンダーによって悪意のある活動としてフラグ付けされており、IP の地理位置情報が UNITED STATES であることを確認しました。
オーナーシップの取得
これにより、IP 144.172.79.92 からのトラフィックが悪意のあるものであることが確認されました。したがって、ログを分析して、ネットワーク内の何台のホストがこの悪意のある IP と通信したかを確認するためのさらなる調査が必要です。
私は、アクセスログの調査から分析を開始しました。IPアドレス、ユーザーエージェント、パス、HTTPステータスコード、タイムスタンプに焦点を当て、不審な活動や悪意のある活動を特定できるようにしました。
HTTPトラフィックを調査する前に、関連する脆弱性の悪用に使用されたペイロードを調査しました。この GitHub リポジトリ https://github.com/seed1337/CVE-2024-24919-POC/blob/main/exploit.py で、[CVE-2024–24919] で使用された公開されている POC (Proof of Concept) を見つけました。
オーナーシップの取得
次に、ログ管理ページに移動し、悪意のあるソースIPアドレス 203.160.68.12 でログをフィルタリングして、何台のホストがこの IP と接触したかを確認しました。ネットワークを検索したところ、IPアドレス 172.16.20.146 の「CP-Spark-Gateway-01」という名前のホストのみがこの悪意のある IP と接触していたことが判明しました。
オーナーシップの取得
以下のログ情報は、悪意のあるIPアドレス 172.16.20.146 が POST メソッドを使用して悪意のあるペイロード aCSHELL/../../../../../../../../../../etc/shadow を送信したことを示しています。これは、06/June/2024 に、IPアドレス 172.16.20.146 のホスト「CP-Spark-Gateway-01」上で、ディレクトリトラバーサルを介して機密性の高い /etc/shadow ファイルを読み取ろうとする試みです。
オーナーシップの取得
オーナーシップの取得
/etc/shadow ファイルは、Unix/Linux ベースのオペレーティングシステムにおいて、ユーザーアカウントのハッシュ化されたパスワードとアカウントの有効期限情報を保存する重要なファイルです。したがって、攻撃者がユーザーの資格情報を盗もうとしており、上記のログで確認できるように、そのリクエストがステータスコード 200 で許可されたと結論付けることができます。
これにより、この攻撃が悪意のあるものであることがさらに証明されます。
オーナーシップの取得
封じ込めは、セキュリティインシデントの影響を制限し、データと運用を保護し、効果的なインシデント対応を促進し、フォレンジック分析のための証拠を保存し、法的および規制上の要件への準拠を確保することにより、サイバーセキュリティにおいて極めて重要な役割を果たします。
デバイスが侵害されていることを検知したため、さらなる被害を防ぐために、IPアドレス 172.16.20.146 のデバイス「CP-Spark-Gateway-01」を隔離しました。
オーナーシップの取得
オーナーシップの取得
修復は、堅牢なサイバーセキュリティ戦略の基本的な構成要素です。これは、脆弱性を修正し、セキュリティ問題に対処して、悪用を防ぎ、データを保護し、運用を維持し、規制に準拠することで、最終的により安全で回復力のある組織に貢献します。将来の再発を修復・防止するには、以下の手順を実行する必要があります。
分析が完了した後、調査結果を「アナリストノート」セクションに記録しました。
オーナーシップの取得
調査を終えた後、このアラートは真陽性 (true positive) であると結論付けました。アラートの原因、アラートを分析するために実行した手順、分析の結果、アラートを修復して正常にクローズするために実行した手順を説明するクロージングノートを作成しました。
オーナーシップの取得
