CVE-2024-27198 — SOC 탐지 및 침해 대응 연구실

JetBrains TeamCity의 인증 우회 | CVSS 점수: 9.8 (심각)

이 프로젝트는 CVE-2024-27198(경로 혼란 기법을 이용한 JetBrains TeamCity 2023.11.3의 인증 우회 취약점)을 시뮬레이션, 탐지 및 대응하기 위한 완전한 SOC 연구실 환경을 구축합니다.

연구실 구성

빠른 시작

cd 1-lab-setup
docker-compose up -d

공격 체인 (MITRE ATT&CK)

증거

TeamCity 피해자 서버 (localhost:8111)

[TeamCity 대시보드]

TeamCity 2023.11.3이 피해자 서버로 실행 중 — 취약한 버전 확인됨

Kibana SIEM — SOC 모니터 대시보드

[Kibana SOC 대시보드]

공격 활동 타임라인을 보여주는 실시간 로그 모니터링 대시보드 (2026년 6월 19일)

Kibana 알림 규칙 — 활성화 및 실행 중

[Kibana 알림 규칙]

CVE-2024-27198 탐지 알림 규칙 — 활성화됨, 매 1분마다 확인

저장소 구조

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # 전체 스택: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # 의심 태그 탐지를 위한 로그 파이프라인
│   └── kibana.yml              # Kibana 설정
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Sigma 탐지 규칙 (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Suricata IDS 규칙 (3개 규칙)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # 트라이지 → 차단 → 제거
│   └── containment/
│       └── block-ip.sh                 # 자동 IP 차단 스크립트
└── 4-evidence/
    └── screenshots/                    # 공격 증거 (5개 스크린샷)

탐지 범위

Sigma 규칙

HTTP 200 응답과 함께 TeamCity REST API 엔드포인트를 대상으로 하는 경로 혼란 패턴(?jsp=, ;.jsp)을 탐지합니다.

Suricata IDS 규칙

Logstash 파이프라인

;, .jsp 또는 jsp=를 포함하는 로그를 자동으로 suspicious로 태그하고 Elasticsearch 인덱스 teamcity-logs-*로 전달합니다.

침해 대응 플레이북

3-incident-response/playbook/SOC-Playbook.md 참조

참고 자료

• NVD — CVE-2024-27198
• Rapid7 분석
• MITRE ATT&CK T1190