CVE-2024-27198 — Лаборатория обнаружения и реагирования на инциденты SOC

Обход аутентификации в JetBrains TeamCity | Оценка CVSS: 9.8 (Критический)

Этот проект создает полную среду лаборатории SOC для моделирования, обнаружения и реагирования на CVE-2024-27198 — уязвимость обхода аутентификации в JetBrains TeamCity 2023.11.3 с использованием техники путаницы путей.

Архитектура лаборатории

Быстрый старт

cd 1-lab-setup
docker-compose up -d

Цепочка атак (MITRE ATT&CK)

Доказательства

Сервер-жертва TeamCity (localhost:8111)

[Панель управления TeamCity]

TeamCity 2023.11.3, работающий как сервер-жертва — подтвержденная уязвимая версия>

Kibana SIEM — Панель мониторинга SOC

[Панель управления Kibana SOC]

Панель мониторинга журналов в реальном времени, показывающая временную шкалу активности атаки (19 июня 2026 г.)

Правило оповещения Kibana — Включено и работает

[Правило оповещения Kibana]

Правило оповещения обнаружения CVE-2024-27198 — Включено, проверка каждую 1 минуту

Структура репозитория

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # Полный стек: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # Конвейер журналов с обнаружением подозрительных тегов
│   └── kibana.yml              # Конфигурация Kibana
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Правило обнаружения Sigma (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Правила IDS Suricata (3 правила)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # Триаж → Сдерживание → Устранение
│   └── containment/
│       └── block-ip.sh                 # Скрипт автоматической блокировки IP
└── 4-evidence/
    └── screenshots/                    # Доказательства атаки (5 скриншотов)

Охват обнаружения

Правило Sigma

Обнаруживает шаблоны путаницы путей (?jsp=, ;.jsp), нацеленные на конечные точки REST API TeamCity, с ответами HTTP 200.

Правила IDS Suricata

Конвейер Logstash

Автоматически помечает журналы, содержащие ;, .jsp или jsp=, как suspicious и пересылает в индекс Elasticsearch teamcity-logs-*.

Плейбук реагирования на инциденты

См. 3-incident-response/playbook/SOC-Playbook.md

Ссылки

• NVD — CVE-2024-27198
• Rapid7 Analysis
• MITRE ATT&CK T1190