corelight/phantom-playbooks
これは、Splunk Phantom 向けに開発された Corelight のコミュニティ Playbook リポジトリです。これらは、独自の Playbook を作成するための例をいくつか提供します。
この Playbook は、Splunk から DNS の保存検索またはアラートメカニズムを受け取り、アラートの Zeek UID を取得します。次に、DNS 応答の結果を使用して誤検知を特定するロジックを使用します。そのロジックは、DNS IPv4/IPv6 アドレスを取得し、一致する IP タプルを持つ Conn ログを検索します。その後、サービスを使用して HTTP または SSL トラフィックを探し、関連するメタデータを取得します。これらの接続中にファイルが見られた場合、ファイルの SHA1 が VirusTotal でのファイル検索に使用されます。v19+ の Corelight が Suricata とともにインストールされている場合、UID を使用して特定のフローのすべての Suricata アラートを収集します。この Playbook の変更と改善は継続中です。
Phantom をインストールするためのすべてのオプションについては、Splunk の Phantom ドキュメント を参照してください。以下が含まれます:
Splunk Phantom の インポート 機能を使用して、.tgz 形式の Playbook をアップロードしてください。
これらの Playbook は、アナリストの対応時間を短縮し、誤検知を減らす可能性を高めるためにコミュニティによって作成されています。セキュリティはチームで取り組むべきものです！ ご質問がある場合は、ここで Issue を開くのではなく、[email protected] までお問い合わせください。 これらが始めるのに役立つことを願っています。
