zedocun/incident-analysis-response-check-point-security-gateway-cve-2024-24919-lfi-exploitationインシデントレスポンス（IR）ケーススタディ。Check Point Security Gateway 上の CVE-2024-24919（任意ファイル読み取り）を標的とした悪用試行の調査を文書化したもの。包括的な SIEM 分析、ファイアウォールログ、生の Web アクセスログ検査（`/var/log/access.log`）、IOC、MITRE ATT&CK マッピング、および侵害後の検証を含む。
2024年6月6日午後3時12分、セキュリティ監視システムが、Check Point Security Gateway（CP-Spark-Gateway-01、IP: 172.16.20.146）を標的とした高重大度の悪用試行アラートを発報しました。外部攻撃者（IP 203.160.68.12 から操作）は、CVE-2024-24919（任意ファイル読み取りの脆弱性）を悪用しようと試み、ディレクトリトラバーサルペイロード（aCSHELL/../../../../../../../../etc/passwd）を含む細工されたHTTP POSTリクエストを /clients/MyCRL エンドポイントに送信しました。
SIEM、ファイアウォールログ、OSログ、Webアクセスログにわたる徹底的なインシデントレスポンス調査の結果、/etc/passwd の初期ファイル読み取りは成功したものの（HTTPステータス を返し、1256バイトのローカルシステムユーザーメタデータを取得）、その後のラテラルムーブメントや権限昇格の試行（ の標的化など）はブロックされた（）ことが確認されました。さらに、システム監査と端末ログのレビューにより、リモートコード実行、リバースシェル、不正なユーザーアカウント作成などのポストエクスプロイテーション活動は存在しないことが確認されました。
200/etc/shadow403 Forbidden172.16.20.146）SOC287（イベントID 263）aCSHELL/../../../../../../../../etc/passwd を含む悪意のあるHTTP POSTリクエスト
(上記: CVE-2024-24919 に関連する資産脆弱性マッピングと識別)
/var/log/access.log）/etc/passwd を読み取るリクエストはHTTP 200 OK ステータスを返し、システムアカウント情報のデータ漏えいが確認されました。203.160.68.13）によるその後の /etc/shadow を標的とした試行は、HTTP 403 Forbidden レスポンスで正常に拒否されました。192.168.x.x、10.x.x.x、172.16.x.x）からの標準的なHTTPリクエストを実行する同時エントリは、外部侵入とは完全に無関係な通常の企業ネットワーク活動として検証されました。
(上記: ブロックされたアクセス試行とともに、成功したLFI実行を示す生のWebアクセスログ)
203.160.68.12）の脅威インテリジェンスプラットフォームに対する検証
(上記: 悪意のある/不審な属性を確認するVirusTotalレピュテーションチェック)
203.160.68.12（AS 10099 - China Unicom Global）からのトラフィックをブロックするファイアウォールルールを適用します。