SOARやろうぜ！無償のPhantom Community版使って。~App設定編~

前回のおさらい

• SOARやろうぜ！無償のPhantom Community版使って。~準備編~

本記事のスコープ

1. Phantomの理解とインストール
2. 実現したいPlaybookのサンプルを選択 ←ここ
3. 必要となる連携Appを設定 ←ここ
4. Playbookを編集
5. Playbookを実行

Playbookの確認

• メニューからPlaybooksを選択
  

• 以下を検索

  • phishing_investigate_and_respond
    

• 3つ出てきていますが

  • １行目は、REPO=communityとなっています。これはcommunityレポジトリからDLしたものという意味です
  • ２行目は、REPO=localとなっています。これはREPO=communityのplyabookを編集する際に複製されたものという意味です
  • ３行目は、NAME=phishing_investigate_and_respond_v2となっていますが、これはREPO=localのplaybooksを直接編集するのではなく、コピーしてローカル編集した独自のplaybooksという意味です。（編集前にオリジナルを残す目的）

• 最初はREPO=communityしか出てこないと思うのでそちらのルールをクリックして編集メニューを開きます。すると以下の画面が現れます
  

• MISSING ASSETSの警告が出ているので、RESOLVE MANUALLYを選択して中身の構成Appをcheckします
  

• [Show All]にしてどのようなAppが必要かcheck
  

• わたしの環境には既にいくつかのAppが設定されているので見えている数が違うかもしれませんが、ここでplyabook内に使われるappのasset名が確認できます

  • threatgrid
  • isightpartners
  • screenshot machine
  • cbprotect
  • domaintools
  • opendns
  • dns

• もともとplaybooksはgithubでも管理されているのでそちらのjsonファイルを見ると中身がよくわかります。

  • githubのjsonファイル
    • https://github.com/splunk/playbooks/blob/4.2/phishing_investigate_and_respond.json

"misc": { "apps_list": ["VirusTotal", "DomainTools", "WHOIS", "MaxMind", "OpenDNS Investigate", "Carbon Black Response", "WildFire", "LDAP", "iSight Partners", "Screenshot Machine", "Threat Grid", "DNS"] },

• 一度playbookは閉じて、次に必要なappを設定していきます。

必要なAppの設定

• 今回は、簡単に利用できるAPIを厳選して設定していきます。

  • Virustoal
  • MaxMind
  • ScreenShot Machine
  • WHOIS

• 最初にAppのローカルレポジトリを最新に更新します。「APP UPDATES」から実行。
  

Virustoal

• 無償でhash, IP, URLなどのレピュテーション調査が行えるAppです

• virustotalに会員登録して、Free版のAPIキーをGETします。フリー版はAPIリクエスト制限回数がありますが評価時には使えます。
  

• phantomのAppメニューのunconfigured appからvirustotalと検索して「CONFIGURE NEW ASSET」をクリック

• 任意のAsset Name(例：virustotal)を入力
  

• Asset Settingsタブに移動してAPIを設定
  
  ※地味にLimit Number of requests to 4 per minuteはチェック入れておいたほうがいいです。

• TEST CONNECTIVITYでAPI接続確認
  

• test passedならvirustotalのasset設定は完了です。

MaxMind

• IPアドレスからGeoLocation情報をもってくるためのAppです
  

• Configured Appsとして設定

• maxmindもappの設定は、google mapとの連携をしておくと便利なのでgoogle mapのAPI取得から始まります。

• Google map API利用までの設定方法(Freeでも使える)
  https://developers.google.com/maps/documentation/javascript/get-api-key
  

• Maps JavaScript APIを有効化します

• GCPのコンソールにてAPIキーを有効化
  

• Phantomのコンソールに戻って、Administration - Administration Settings - Google MapsにてAPIを設定
  

• これでMaxMindの準備は完了です

ScreenShot Machine

• URLにアクセスして、ページViewをスクリーンショットしてきてくれるAppです
  

• まずはAPI取得のためにアカウント登録

  • https://www.screenshotmachine.com/

• APIのTrialをリクエスト
  

• 月100回までスクショがとれるらしいです
  

• PhantomのAppにてAPIを設定します。TEST CONNECTIVITYでチェック。
  

-Screenshot machineの設定は終わりです。

WHOIS

• whoisデータベースの問い合わせ用appです
  
• Configured Appsとして設定
• 以上。

おまけApp(なくてもOK)

LDAP

• ActiveDirectoryサーバに対してLDAPクエリをかけてユーザ情報をもってきたり、ユーザーを無効化することもできるApp
  
• Administratorなどの管理者ユーザを設定
  
• TEST CONNECTIVITYでpassすれば設定完了

Office 365

• 指定メールボックスに入ったメールを自動取込するためのappとして利用

• Office365側の設定ガイドはappのDocumentationをクリックして参照

• Office365側の設定は慎重に見ながら進めてください。

• Office365の設定を済ませて簡単なbasic認証でメールを受信取得するように設定

• わたしがハマったポイント
  • 存在するMailboxを作成していなかったため、メールの収集に失敗。

- ちゃんと指定したメールボックスを作成することを忘れずに。

• メール収集インターバルも設定忘れずに。

• test connectivityが成功すればOK

Next

• 設定したAppを元にplayookを修正しながら動くものを作りたいと思います。
  • SOARやろうぜ！無償のPhantom Community版使って。~Playbook設定編~