SOC335 – CVE-2024-49138 漏洞利用调查

概述

本项目记录了使用 LetsDefend 平台对 CVE-2024-49138 漏洞利用警报进行 SOC 调查的过程。调查涉及分析网络日志、研究入侵指标、判断是否发生了可疑通信，以及对受影响端点进行遏制。

警报详情

• 警报： SOC335 – 检测到 CVE-2024-49138 漏洞利用
• 严重性： 中
• 事件 ID： 313
• 类别： 权限提升
• 受影响主机： Victor
• 内部 IP： 172.16.17.207
• 可疑外部 IP： 185.107.56.141

警报截图

调查

1. 日志分析

审查了防火墙日志，以调查涉及受影响端点的通信。发现可疑外部 IP 地址与内部主机之间存在流量。

2. 威胁情报

使用 VirusTotal 和额外的威胁情报信息对外部 IP 地址进行了调查，以判断其是否与可疑活动有关。

3. 端点调查

受影响端点被确认为 Victor (172.16.17.207)，一台 Windows 10 客户端。

4. 遏制

根据调查结果，通过端点检测与响应（EDR）平台对受影响端点进行了遏制，以防止进一步潜在的恶意活动。

入侵指标（IOC）

结论

该警报被判定为真阳性。确认了与漏洞利用警报相关的可疑网络活动，并在事件响应过程中对受影响端点进行了遏制。

已关闭警报结果

展示的技能

• SOC 警报分流
• 日志分析
• 威胁情报研究
• 入侵指标（IOC）分析
• 端点调查
• 事件遏制
• EDR 调查
• 事件文档记录

使用的工具

• LetsDefend
• VirusTotal

---

本项目在模拟 SOC 环境中完成，用于教育和作品集展示目的。