payloadsecurity/sandbox_scryer公開サンドボックスのデトネーションレポートを解析して脅威ハンティングインテリジェンスを生成し、MITRE ATT&CKに基づいて発見事項を整理、IOCを収集し、大規模な攻撃分析のためのNavigatorヒートマップを生成します。
Sandbox Scryerは、公開サンドボックスによる検知結果から、脅威ハンティングやインテリジェンスデータを生成するためのオープンソースツールです。 このツールはMITRE ATT&CKフレームワークを活用して結果を整理・優先順位付けし、IOCの収集、攻撃の動きの理解、脅威ハンティングを支援します。 研究者が数千のサンプルをサンドボックスに送信して、ATT&CKテクニックとともに使用できるプロファイルを構築できるようにすることで、Sandbox Scryerは ユースケースを大規模に解決する前例のない能力を提供します。 このツールは、サンドボックスの出力データを活用した脅威ハンティングや攻撃分析に興味があるサイバーセキュリティ専門家を対象としています。 Sandbox Scryerツールは現在、無料で公開されているHybrid Analysisマルウェア分析サービスの出力を消費し、アナリストが脅威ハンティングの拡大と迅速化を支援します。
[root] version.txt - 現在のツールバージョン LICENSE - ソースコードおよびその他のコンテンツのライセンスを定義 README.md - このファイル
[root\bin] \Linux - Linuxでツールを実行するためのビルド済みバイナリ。現在対応：Ubuntu x64 \MacOS - MacOSでツールを実行するためのビルド済みバイナリ。現在対応：OSX 10.15 x64 \Windows - Windowsでツールを実行するためのビルド済みバイナリ。現在対応：Win10 x64
[root\presentation_video] Sandbox_Scryer__BlackHat_Presentation_and_demo.mp4 - スライドデッキを説明し、ツールのデモを示すビデオ
[root\screenshots_and_videos] 各種バックアップスクリーンショット
[root\scripts] Parse_report_set.* - Windows PowerShellおよびDOSコマンドウィンドウのバッチファイルスクリプト。テストセット内の各HAサンドボックスレポートサマリーを解析するためにツールを呼び出す。 Collate_Results.* - Windows PowerShellおよびDOSコマンドウィンドウのバッチファイルスクリプト。レポートサマリーの解析結果からデータを照合し、MITRE Navigatorレイヤーファイルを生成する。
[root\slides] BlackHat_Arsenal_2022__Sandbox_Scryer__BH_template.pdf - Black Hat 2022でSandbox Scryerを発表する際に使用したスライドのPDFエクスポート
[root\src] Sandbox_Scryer - Sandbox Scryerツールのソースコード（C#）とVisual Studio 2019ソリューションファイルを含むフォルダー
[root\test_data] (SHA256ファイル名).json - Hybrid Analysisへの提出物からのレポートサマリー enterprise-attack__062322.json - MITRE CTIデータ TopAttackTechniques__High__060922.json - MITRE計算機で生成された上位MITRE ATT&CKテクニック。MITRE Navigatorでヒートマップを生成するためのテクニックのランク付けに使用。
[root\test_output] (SHA256)_report__summary_Error_Log.txt - ファイル名に含まれるSHA256のレポートサマリーを解析中に発生したエラー（ある場合） (SHA256)_report__summary_Hits__Complete_List.png - ファイル名に含まれるSHA256のレポートサマリーを解析中に検出されたテクニックを示すグラフィック (SHA256)_report__summary_MITRE_Attck_Hits.csv - 照合ステップ用に、ファイル名に含まれるSHA256のレポートサマリーから選択されたメタデータ付きのテクニックと戦術 (SHA256)_report__summary_MITRE_Attck_Hits.txt - .csvファイルのより人間が読みやすい形式。検出されたテクニックのランク付けデータを含む。
\collated_data collated_080122_MITRE_Attck_Heatmap.json - MITRE Navigatorにインポートするためのレイヤーファイル
Sandbox Scryerは、スクリプト化を容易にするために、コマンドラインツールとして呼び出されることを意図しています。
操作は次の2つのステップで構成されます。
呼び出し例：
解析
照合
パラメータ「-h」を指定すると、以下に示すように組み込みのヘルプが表示されます。 Sandbox_Scryer.exe -h
オプション：
-h コマンドラインオプションを表示
-i 入力ファイルパス
-ita 入力ファイルパス - 上位テクニックのMITREレポート
-o 出力フォルダパス
-ft 送信するファイルの種類
-name 出力に使用する名前
-sb_name 使用するサンドボックスの識別子（デフォルト：ha）
-api_key サンドボックスへの送信に使用するAPIキー
-env_id サンドボックスへの送信に使用する環境ID
-inc_sub グラフィカル出力にサブテクニックを含める（デフォルトでは含めない）
-mitre_data 解析するmitre ctiデータのファイルパス（att&ckテクニックを入力するため）
-cmd コマンド
オプション：
parse 以前のサンドボックス提出からのレポートファイルを処理
-i、-ita、-o、-name、-inc_sub、-sig_data パラメータを使用
col 以前のサンドボックス提出からのレポートデータを照合
-i（フォルダパスとして扱う）、-ita、-o、-name、-inc_sub、-mitre_data パラメータを使用
Navigatorレイヤーファイルが生成されたら、以下からNavigatorにロードして表示できます。 https://mitre-attack.github.io/attack-navigator/
Navigator内では、サンドボックスレポートサマリーで検出されたテクニックが強調表示され、テクニックのランクとサンドボックスレポートサマリー内のヒット数の複合スコアに基づいて、より高いヒートで表示されます。テクニックにカーソルを合わせると、選択したメタデータが表示されます。