corelight/phantom-playbooks자동화된 보안 인시던트 대응 플레이북으로, Splunk Phantom용으로 설계되어 Zeek 로그, DNS 분석, VirusTotal 위협 인텔리전스를 통합하여 알림을 조사하고 오탐(false positive)을 줄입니다.
이것은 Splunk Phantom용으로 개발된 Corelight 커뮤니티 플레이북 저장소입니다. 이러한 예제들은 여러분이 자신만의 플레이북을 만들 수 있는 몇 가지 예시를 제공합니다.
이 플레이북은 Splunk의 DNS에 대한 저장된 검색 또는 알림 메커니즘을 가져와 해당 알림의 Zeek UID를 추출합니다. 그런 다음 DNS 응답 결과를 사용하여 오탐(false positive)을 식별하는 로직을 사용합니다. 로직은 DNS IPv4/IPv6 주소를 가져와 일치하는 IP 튜플이 있는 Conn 로그를 조회합니다. 그런 다음 서비스를 사용하여 HTTP 또는 SSL 트래픽을 찾고 흥미로운 메타데이터를 가져옵니다. 이러한 연결 중에 파일이 발견되면 파일 SHA1을 사용하여 VirusTotal에서 파일 조회를 수행합니다. Suricata와 함께 Corelight v19+가 설치된 경우 UID를 사용하여 특정 흐름에 대한 모든 Suricata 알림을 수집합니다. 이 플레이북에 대한 변경 및 개선은 계속 진행 중입니다.
Phantom 설치에 대한 모든 옵션은 Splunk의 Phantom 문서를 참조하십시오. 여기에는 다음이 포함됩니다:
Splunk Phantom의 import 기능을 사용하여 .tgz 형식의 플레이북을 업로드하십시오.
이 플레이북은 분석가의 대응 시간을 단축하고 잠재적으로 오탐을 줄이기 위해 커뮤니티에서 제작되었습니다. 보안은 팀 노력이어야 합니다! 질문이 있으시면 여기에 Issue를 열지 말고 [email protected]으로 문의하십시오. 이것들이 시작하는 데 도움이 되기를 바랍니다.
