v3ng4mxv1p3r/mobile-drop-device-soc-detectionルート化されていないAndroidドロップデバイス（Casper）をWazuh SIEMを使用して検出するエンドツーエンドのシミュレーション。Shellshock（CVE-2014-6271）のようなレイヤ7攻撃をキャプチャします。
このプロジェクトは、内部ネットワーク内で「ドロップデバイス」として使用される不正なroot化されていないAndroidデバイス（Casper Via S）が、重要なLayer 7攻撃（Webスキャン、RCE）を開始した際にWazuh SIEMによってどのように検出されるかをシミュレートする、エンドツーエンドのSOCラボワークショップを示しています。
このリポジトリは、「シャドウデバイス」の脅威を軽減するためのモバイル侵入テスト（レッドチーム）、SIEMログ統合（ブルーチーム）、およびカスタムルール作成（検出エンジニアリング）の融合を示しています。
モバイルデバイスからnmap --unprivilegedを使用して実行し、公開サービスを発見しました。root化されていないAndroidデバイスではSELinuxの制限によりrawソケットの作成が妨げられるため、標準のTCP Connect（-sT）スキャンが利用されました。ターゲットのApacheサーバーはポート8080で識別されました。
ターゲットの内部IPとポート8080に対してNiktoを使用して積極的な脆弱性スキャンを開始しました。Niktoは多数の既知のエクスプロイトペイロードを注入しながら、そのアイデンティティを難読化しようとしました。
デプロイされたエージェントを介してWindows 10ターゲットからApache access.logをWazuhサーバーに取り込みました。
キャプチャされた重要なログ詳細: Niktoはスキャナーのアイデンティティを隠そうとしましたが、Wazuhの深いログ分析（ルール31166）はリクエストヘッダー内の悪名高いShellshock RCEペイロードを正常に検出しました。
この画像はプロジェクトを完璧に捉えています：手に持ったアクティブなモバイル「ドロップデバイス」と、その背後にあるリアルタイム検出アラートを示すSOCダッシュボード。
これらの画像は、Wazuh SIEMによってキャプチャされた特定のログ詳細を示し、Shellshockペイロード、CVE ID、およびMITRE ATT&CK手法を強調しています。
組み込みルールに加えて、カスタムレベル12ルールが作成され、不正デバイスからの一般化されたWebスキャナーパターンを識別しますが、このインスタンスでは、特定のShellshockアラート（ルール31166）が優先されました。
