CVE-2024-27198 — Laboratório de Detecção SOC e Resposta a Incidentes

Desvio de Autenticação no JetBrains TeamCity | Pontuação CVSS: 9.8 (Crítico)

Este projeto constrói um ambiente completo de Laboratório SOC para simular, detectar e responder ao CVE-2024-27198 — uma vulnerabilidade de desvio de autenticação no JetBrains TeamCity 2023.11.3 usando técnicas de confusão de caminho.

Arquitetura do Laboratório

Início Rápido

cd 1-lab-setup
docker-compose up -d

Cadeia de Ataque (MITRE ATT&CK)

Evidências

Servidor Vítima TeamCity (localhost:8111)

[Painel do TeamCity]

TeamCity 2023.11.3 rodando como servidor vítima — versão vulnerável confirmada

Kibana SIEM — Painel de Monitoramento SOC

[Painel SOC do Kibana]

Painel de monitoramento de logs em tempo real mostrando linha do tempo de atividade de ataque (19 de junho de 2026)

Regra de Alerta do Kibana — Ativada e em Execução

[Regra de Alerta do Kibana]

Regra de Alerta de Detecção CVE-2024-27198 — Ativada, verificando a cada 1 minuto

Estrutura do Repositório

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # Pilha completa: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # Pipeline de log com detecção de tag suspeita
│   └── kibana.yml              # Configuração do Kibana
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Regra de detecção Sigma (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Regras IDS Suricata (3 regras)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # Triagem → Contenção → Erradicação
│   └── containment/
│       └── block-ip.sh                 # Script de bloqueio automático de IP
└── 4-evidence/
    └── screenshots/                    # Evidências de ataque (5 capturas de tela)

Cobertura de Detecção

Regra Sigma

Detecta padrões de confusão de caminho (?jsp=, ;.jsp) direcionando endpoints da API REST do TeamCity com respostas HTTP 200.

Regras IDS Suricata

Pipeline Logstash

Automaticamente marca logs contendo ;, .jsp ou jsp= como suspeitos e encaminha para o índice Elasticsearch teamcity-logs-*.

Playbook de Resposta a Incidentes

Veja 3-incident-response/playbook/SOC-Playbook.md

Referências

• NVD — CVE-2024-27198
• Análise da Rapid7
• MITRE ATT&CK T1190