🔍 Расследование атаки нулевого дня с использованием SIEM Let’s Defend

👉 Пошаговое руководство по обнаружению и анализу эксплуатации CVE-2024-24919

🎯 Цель расследования

Этот проект был проведен для расследования возможной попытки эксплуатации шлюза безопасности Check Point, в частности с использованием уязвимости нулевого дня – CVE-2024-24919. Целью было определить, является ли это предупреждение ложным срабатыванием или законной попыткой взлома, проанализировать трафик и предпринять соответствующие шаги по сдерживанию и реагированию.

🛠️ Используемые инструменты и среда

SIEM-платформа: Let’s Defend (облачный инструмент для обнаружения и расследования угроз)
Виртуальная лаборатория: Предоставлена в рамках Let’s Defend
Целевой хост: CP-Spark-Gateway-01
Функции анализа журналов: журналы HTTP-трафика, фильтрация конечных точек, консоль безопасности электронной почты
Разведка угроз: Онлайн-источники, такие как NVD и рекомендации по безопасности Check Point

⭐ Обзор оповещения

Сработавшее правило: SOC287 - Произвольное чтение файлов на шлюзе Check Point (CVE-2024-24919)
ID события: 263
Время: 6 июня 2024 г., 15:12
IP-адрес назначения: 172.16.20.146
IP-адрес источника: 203.160.68.12
Действие устройства: Разрешено
Запрос: aCSHELL/../../../../../../../../../../etc/passwd
User-Agent: Подделан под Mozilla Firefox на Mac OS X

🧪 Предварительный анализ: Понимание CVE-2024-24919

CVE-2024-24919 — это уязвимость обхода пути нулевого дня, затрагивающая шлюзы безопасности Check Point. Она позволяет неаутентифицированным удаленным злоумышленникам читать произвольные файлы, такие как /etc/passwd и /etc/shadow, путем отправки специально созданных HTTP-запросов на уязвимые конечные точки.

🔗 Рекомендация Check Point

Этот тип запроса (видимый в наших журналах) соответствует данной уязвимости и вызывает оповещения из-за попытки эксплуатации чтения системных файлов.

🔎 Шаг 1: Анализ HTTP-трафика

Я перешел на страницу управления журналами, отфильтровал по IP-адресу назначения 172.16.20.146 и проверил входящий HTTP-трафик.

🔥 Основные выводы:

Время	Путь запроса	Полезная нагрузка
15:12:45	/clients/MyCRL	`aCSHELL/../../../../etc/passwd`
15:13:10	/clients/MyCRL	`aCSHELL/../../../../etc/shadow`

Полезная нагрузка явно пытается выполнить обход пути для чтения критических системных файлов.
Эти файлы используются для хранения учетных данных пользователей и хэшей паролей.
HTTP-статус 200 с размером ответа: 1256 байт указывает, что сервер успешно вернул данные — это предполагает успешную эксплуатацию.

🚨 Шаг 2: Что это за тип атаки?

Это атака обхода пути, также известная как обход каталогов. Она позволяет злоумышленникам перемещаться за пределы предполагаемого веб-каталога и получать доступ к защищенным системным файлам.

Почему мы пришли к этому выводу:

Запросы содержат повторяющиеся шаблоны ../ (точка-точка-слеш).
Целевые файлы, такие как /etc/passwd и /etc/shadow, являются стандартными индикаторами.

🧪 Шаг 3: Был ли это запланированный тест?

Я проверил страницу безопасности электронной почты и выполнил поиск по следующим ключевым словам:

172.16.20.146
CP-Spark-Gateway-01
CVE-2024-24919
penetration test

🔍 Никакие электронные письма или документация не указывали на то, что это был тест. Это, скорее всего, исключает симуляцию или операцию "красной команды".

🌐 Шаг 4: Анализ направления трафика

IP-адрес источника: 203.160.68.12 → Публичный IP-адрес IP-адрес назначения: 172.16.20.146 → Частный IP-адрес (диапазон RFC 1918)

🔁 Направление: Интернет → Сеть компании

Это подтверждает, что трафик исходит от внешнего злоумышленника, нацеленного на внутреннюю инфраструктуру.

🧠 Шаг 5: Была ли атака успешной?

Журнал HTTP показывает:

"POST /clients/MyCRL HTTP/1.1" 200 1256

HTTP 200 OK указывает на успех.
Размер ответа (1256 байт) предполагает, что система вернула данные.
Злоумышленник, вероятно, получил доступ к /etc/passwd, что подтверждает успешную эксплуатацию.

🛡️ Шаги по сдерживанию

Я перешел на страницу конечных точек, отфильтровал по IP-адресу назначения 172.16.20.146 и выполнил действие по сдерживанию для изоляции хоста.

Почему?

Хост был скомпрометирован.
Он может быть использован для перемещения (pivot) или кражи данных.

🧾 Шаг 6: Документирование IOCs

Почему это важно:

Индикаторы компрометации (IOCs) имеют решающее значение для:

Уведомления внешних сообществ по разведке угроз
Написания будущих правил обнаружения
Укрепления безопасности

📌 Выявленные IOCs:

IP-адрес источника: 203.160.68.12, 203.160.68.13
User-Agent: Mozilla/5.0 (Mac OS X; rv:126.0)
Пути запросов:
- /clients/MyCRL
- Полезные нагрузки: ../../../../etc/passwd, ../../../../etc/shadow
Целевой порт: 4433 (нестандартный HTTPS)

Популярное

Detecting-and-Analyzing-CVE-2024-24919-Exploitation