Splunk BOSS of the SOC ver 2について(OSINT Gathering)

[Boss of the SOC (BOTS) Advanced APT Hunting Companion App for Splunk](https://splunkbase.splunk.com/app/4430/)
Hunting an APT with Splunk Workshop
Welcome to the Hunting an APT with Splunk Workshop based on the Boss of the SOC 2017 data set.

こちらを元に、手順を追ってみる。データセットは[ここ](https://github.com/splunk/botsv2)
なお、ログの時間を合わせるためユーザの時間帯を**(GMT -08:00)**にする必要がある。

全１３回

1. [概要とPowerShell Empire](https://qiita.com/toshikawa/items/511af1a3054ab81cd475)
2. [FTP Exfiltration](https://qiita.com/toshikawa/items/ca6483e4c0ef7f3bb9d3)
3. [DNS Exfiltration](https://qiita.com/toshikawa/items/93a57d9ac0e06bab0bde)
4. [Adversary Infrastructure](https://qiita.com/toshikawa/items/75cbfa0b522735bc5228)
5. [Spearphishing Attachment](https://qiita.com/toshikawa/items/b9bc3527c0f9787d6be1)
6. [User Execution](https://qiita.com/toshikawa/items/945e271b05c1ea55ef34/)
7. [Account Persistence](https://qiita.com/toshikawa/items/df27a896ab71bafb512d)
8. [Scheduled Task](https://qiita.com/toshikawa/items/b203eb78c699192cfc6d/)
9. [Indicator Removal](https://qiita.com/toshikawa/items/8e0c730280e051a3ed4e/)
10. [User Agent Strings](https://qiita.com/toshikawa/items/bb0055bf74af461824a9/)
11. [OSINT Gathering](https://qiita.com/toshikawa/items/4cad2830289bc83ca330/edit)
12. [Lateral Movement](https://qiita.com/toshikawa/items/054c8c358c79758dec25/)
13. [Data Staging](https://qiita.com/toshikawa/items/886df42faf744c299985/)

#OSINT Gathering
##OSINT - Hypothesis
>仮説
公開されている企業情報とその情報にアクセスしているユーザーを特定することで、敵に対する洞察が得られる場合があります。
説明
データセットは、証券取引委員会（SEC）の申請から公衆電話番号まで何でもかまいません。 現在、多くのデータセットが無料で公開されているか、さまざまなデータベンダーから購入できます。 オープンソースインテリジェンス（OSINT）は、公開されているソースから収集されたインテリジェンスです。 これには、オンラインと物理的世界の両方で収集された情報の両方を含めることができます。

####How Might We Confirm or Refute Our Hypothesis?
- 敵の観点から、ターゲットに関する情報はどこで入手できますか？
- SECファイリング
- ソーシャルメディア– LinkedIn / Twitter / Facebook
- 企業ウェブサイト
- その他？
- 特定のユーザーエージェント文字列は会社のコンテンツにアクセスしましたか？
- Webサーバーに接続するこのユーザーエージェント文字列は、Mozilla / 5.0（X11; U; Linux i686; ko-KP; rv：19.1br）Gecko / 20130508 Fedora / 1.9.1-2.5.rs3.0 NaenaraBrowser /3.5b4
- 会社のコンテンツにアクセスしたIPアドレスは何ですか？
- 当社についての詳細を理解するために、当社のウェブサイトやその他の場所からどのような種類の企業情報を入手できますか

##OSINT - Content Type
>ユーザーエージェントとコンテンツタイプ

>httpイベントの内部では、user_agentやhttp_content_typeなどのフィールドを使用して、攻撃者が使用しているブラウザーとアクセスされているメディアの詳細をそれぞれ取得できます。

####Looking In Other Parts of HTTP Data
>httpデータの探索を開始すると、検索時に抽出された興味深いフィールドをいくつでもクリックできます。 これらのフィールドの1つはhttp_content_typeです。 このフィールドは、このイベントのメディアの種類を示すために使用されます。

####Mozilla - MIME Types (http_content_types in stream:http)
>MIMEタイプについて詳しくない場合でも、検索して情報を見つけることができます。 Mozillaのこのページは、テキストと画像を含む7つのMIMEタイプのうち6つと、通常表示される内容の説明に役立つ非常に優れた入門書です。 これらのMIMEタイプを探すこともできますが、他のタイプとは異なる1つのことを見てみましょう。

####Drill-down for More Details
>ドリルダウンすると、8月5日に85.203.47.86から要求されたNaenaraブラウザにファイルcompany_contacts.xlsxが提供されたことを示す単一のイベントが取得されます。

####Identifying Potential Targets
>以前の検索を進化させ、tableコマンドを使用して、イベント時間、送信元および宛先アドレス、URL、URI_Pathなどのフィールドを返すことができます。 結果は、攻撃者が当社のWebサイトにいて、company_contacts.xlsファイルにアクセスしたことを示しています。

>この発見により、なぜこの種の情報がWebサイトに投稿されるのか、などの内部的な質問につながる可能性があります。

##OSINT - Findings
####Were We Able To Confirm Our Hypothesis?
>北朝鮮のユーザーエージェント文字列を使用したブラウザが、Froslyが経験した攻撃に先立って、Webサイトから会社の連絡先スプレッドシートをダウンロードしました

####What We Learned
- company_contacts.xlsxがダウンロードされました
- タイムスタンプに基づいて、これは8/5/17 1:15:49 AMに発生したことがわかります

####What should we operationalize?
>各ハントの終わりに、私たちは何を取り、インシデント対応チームにフィードバックできるかについて考えたいと思います。 これは、ボックスを引っ張ってフォレンジックアクティビティを実行するなどの追加アクティビティであるか、インジケータを取得してSIEMまたはログ管理システムにフィードするか、発見したことに基づいて新しい分析とアラートを構築することができます。 一日の終わりには、先ほど言ったように、狩りから何かを学ぶ必要があります！

- 組織のフットプリントと世界の他の地域に対する可視性を理解する
 - 有名で目に見える主要幹部を監視する
- すべての従業員が同じレベルの可視性を必要とするかどうかを判断し、そうでない場合は、情報がそこに現れるかどうかを監視します
- ウェブサイトやその他の企業資産に特に注意を払い、可能な限り従業員とコンピューティング資産に関するOSINT情報を最小限に
- 誤った情報を含むWebサイトを含む組織内のシードオブジェクト
 - 敵を否定または欺くことができるときはいつでも、彼らは私たちに対する攻撃により多くの努力を投資させる
 - この1つに複雑な感情

##まとめ
officeファイルのMIMEは覚えておく必要がある。