🔍 Let’s Defend SIEM を使ったゼロデイ攻撃の調査

👉 CVE-2024-24919 エクスプロイトの検知と分析のウォークスルー

🎯 調査の目的

このプロジェクトは、Check Point Security Gateway に対する潜在的なエクスプロイトの試みを調査するために実施されました。具体的には、ゼロデイ脆弱性 – CVE-2024-24919 を利用したものです。目標は、このアラートが誤検知なのか、正当な侵害の試みなのかを判断し、トラフィックを分析し、適切な封じ込めと対応手順を講じることでした。

🛠️ 使用したツールと環境

• SIEM プラットフォーム: Let’s Defend (クラウドベースの脅威検知・調査ツール)
• 仮想ラボ: Let’s Defend 内で提供
• 対象ホスト: CP-Spark-Gateway-01
• ログ分析機能: HTTP トラフィックログ、エンドポイントフィルタリング、メールセキュリティコンソール
• 脅威インテリジェンス: NVD や Check Point のセキュリティアドバイザリなどのオンラインソース

⭐ アラート概要

• トリガーされたルール: SOC287 - Check Point Gateway での任意ファイル読み取り (CVE-2024-24919)
• イベント ID: 263
• タイムスタンプ: 2024年6月6日 15:12
• 宛先 IP: 172.16.20.146
• 送信元 IP: 203.160.68.12
• デバイスアクション: 許可
• リクエスト: aCSHELL/../../../../../../../../../../etc/passwd
• ユーザーエージェント: Mac OS X 上の Mozilla Firefox に偽装

🧪 事前分析: CVE-2024-24919 の理解

CVE-2024-24919 は、Check Point Security Gateway に影響を与えるゼロデイのパストラバーサル脆弱性です。これにより、認証されていないリモート攻撃者が、脆弱なエンドポイントに細工した HTTP リクエストを送信することで、/etc/passwd や /etc/shadow などの任意のファイルを読み取ることができます。

🔗 Check Point アドバイザリ

この種のリクエスト(当社のログで確認されたもの)は、この脆弱性と一致し、システムファイルの読み取りを悪用しようとする試みであるため、アラートをトリガーします。

🔎 ステップ 1: HTTP トラフィックの分析

ログ管理ページに移動し、宛先 IP 172.16.20.146 でフィルタリングして、受信 HTTP トラフィックを調査しました。

🔥 主な発見:

• ペイロードは明らかに、重要なシステムファイルを読み取るためのパストラバーサルを試みています。
• これらのファイルは、ユーザー認証情報とパスワードハッシュを保存するために使用されます。
• HTTP ステータス 200 と レスポンスサイズ: 1256 バイトは、サーバーがデータを正常に返したことを示しており — エクスプロイトが成功したことを示唆しています。

🚨 ステップ 2: これはどのような種類の攻撃か?

これはパストラバーサル攻撃であり、ディレクトリトラバーサルとも呼ばれます。 これにより攻撃者は、意図された Web ディレクトリの外に移動して、保護されたシステムファイルにアクセスできます。

このように結論付けた理由:

• リクエストには繰り返しの ../(ドットドットスラッシュ)パターンが含まれています。
• /etc/passwd や /etc/shadow などの対象ファイルは、標準的な指標です。

🧪 ステップ 3: これは計画されたテストだったのか?

メールセキュリティページを確認し、次のキーワードで検索しました:

• 172.16.20.146
• CP-Spark-Gateway-01
• CVE-2024-24919
• penetration test

🔍 テストを示唆するメールやドキュメントはありませんでした。これにより、シミュレーションやレッドチーム演習の可能性はほぼ否定されます。

🌐 ステップ 4: トラフィックの方向分析

送信元 IP: 203.160.68.12 → パブリック IP アドレス 宛先 IP: 172.16.20.146 → プライベート IP アドレス(RFC 1918 範囲)

🔁 方向: インターネット → 社内ネットワーク

これにより、トラフィックが内部インフラを標的とした外部攻撃者から来ていることが確認されます。

🧠 ステップ 5: 攻撃は成功したか?

HTTP ログには次のように表示されています:

"POST /clients/MyCRL HTTP/1.1" 200 1256

• HTTP 200 OK は成功を示しています。
• レスポンスサイズ(1256 バイト) は、システムがデータを返したことを示唆しています。
• 攻撃者は /etc/passwd にアクセスした可能性が高く、エクスプロイトが成功したことを裏付けています。

🛡️ 封じ込め手順

エンドポイントページにアクセスし、宛先 IP 172.16.20.146 でフィルタリングして、ホストを隔離するための封じ込めアクションを実行しました。

なぜか?

• ホストは侵害されています。
• ピボットやデータの外部持ち出しに利用される可能性があります。

🧾 ステップ 6: IOC の記録

これが重要な理由:

侵害の指標 (IOC) は、以下にとって不可欠です:

• 外部の脅威インテリジェンスコミュニティへの通知
• 将来の検知ルールの作成
• セキュリティ体制の強化

📌 特定された IOC:

• 送信元 IP: 203.160.68.12, 203.160.68.13

• ユーザーエージェント: Mozilla/5.0 (Mac OS X; rv:126.0)

• リクエストパス:

  • /clients/MyCRL
  • ペイロード: ../../../../etc/passwd, ../../../../etc/shadow

• ターゲットポート: 4433 (非標準の HTTPS)

⬆️ ステップ 7: Tier 2 へのエスカレーション?

✅ はい — これは、本番環境で機密ファイルを公開しながら悪用されたゼロデイ脆弱性です。

エスカレーションは、以下に不可欠です:

• 詳細なフォレンジック
• パッチの検証
• 法務、コンプライアンス、経営陣の関係者の調整

📄 ステップ 8: 最終分析とコメント

アラートを True Positive(真陽性)としてクローズしました。

📝 簡単なコメント:

"アラートは CVE-2024-24919 のエクスプロイトとして確認されました。外部 IP 203.160.68.12 がパストラバーサルを介して機密のシステムファイルへのアクセスに成功しました。ホスト CP-Spark-Gateway-01 は封じ込められています。IOC の記録は完了しました。高度なフォレンジックとパッチ検証のため Tier 2 にエスカレーションしました。"

🔐 予防の推奨事項

• 🧱 CVE-2024-24919 のベンダーパッチを直ちに適用します (Check Point Hotfix)。
• 🔒 /clients/MyCRL エンドポイントへの外部からのアクセスをブロックします。
• 🧬 トラバーサルパターン (../、..%2F) に対する WAF ルールを実装します。
• 🔍 異常なポートアクティビティ(例: 4433)を監視します。
• 🔄 ファイアウォール + SIEM ルールを定期的に更新および監査します。
• 📚 最近のゼロデイ脅威に関する社内トレーニングを実施します。

✅ 結論

今回の調査は、プロアクティブな脅威監視と対応の重要性を浮き彫りにしました。ゼロデイエクスプロイトを迅速に検知して対応することは、封じ込められたインシデントと広範囲に及ぶ侵害の分かれ目となります。