Adversary Infrastructure Hunting101

第4回 よわよわセキュリティ勉強会でLT発表した資料です。

Transcript

1. Adversary Infrastructure Hunting 101 DiscoNinja(@momomopas)
2. 目次 • 自己紹介 • What is "Adversary Infrastructure Hunting"? • How do you do it? • Go Hunting!
3. What is "Adversary Infrastructure Hunting"?
4. 攻撃者のインフラを調査します！ • 攻撃者が使用するサーバー、ドメイン、C2フレームワークなどを見つけた り、マッピングしたりする行為 • Adversary Infrastructure Huntingは一般的に脅威インテリジェンスに カテゴライズされています。
5. How do you do it?
6. 全体像 ①事前準備 ②調査 ③分析 ブラッシュアップ ④クエリ作成
7. Go Hunting!
8. ①準備 • アカウントの作成 a. インターネット検索エンジン b. インテリジェンス系のサービス
9. a インターネット検索エンジン サイト名 Shodan Modat Censys Silentpush FOFA hunter.how ZoomEye Netlas Hunt.io etugen.io
10. b インテリジェンス系のサービス サイト名 VirusTotal crt.sh Validin domaintools urlscan pulsedive Urlquery abuse.ch
11. ②調査 IoC起点 クエリ起点 IPアドレスもしくはドメインを起点と して、インターネット検索エンジンの 結果からインフラ調査するパターン インターネット検索エンジンのクエリ を起点として、新しいインフラを見つ け出すパターン
12. ARTEX
13. 注意事項 今回は調査例として、 ARTEXのログイン パネルを調査します。 検索結果は必ずしも攻撃者とは限らない ので、注意してください。
14. ②調査(クエリ起点 ) urlscanから対象の情報を見つけるところからスタートします
15. ③分析 IPとドメイン HTTP DOM tree 画面
16. ③分析
17. ファビコン ウェブサイトに含まれる小さなアイコン ブラウザーのアドレスバー、ページタブ、ブックマークメニューなどに表示される 画像
18. なぜファビコンを使うのか？ ファビコンのハッシュ値を用いることで、同一のファビコンを使用しているホスト を見つけることができる 例：フィッシングサイト 本家 偽
19. ④クエリ作成（ハッシュ値の計算）
20. ④クエリ作成
21. ④クエリ作成
22. ARTEXのクエリ例 検索エンジン クエリ Shodan http.favicon.hash:-576220750 Censys host.services.endpoints.http.favicons.hash_md5: cd3ebd16437d6d3963592f7365dd3980