SOARやろうぜ！無償のPhantom Community版使って。~準備編~

はじめに
---
- Splunk Phantomを使って代表的なインシデント調査のワークフローをどれだけ簡単に？自動化できるか検証してみました
- まだまだ英語ドキュメントばかりなので日本語のメモ的な役割として残しておきます

本記事のスコープ
---
1. **Phantomの理解とインストール ←ここ**
2. 実現したいPlaybookのサンプルを選択
3. 必要となる連携Appを設定
4. Playbookを編集
5. Playbookを実行


Phantomって
---
- SOAR(Security Orchestration, Automation and Response)のためのツールです
![スクリーンショット 2020-02-04 22.54.10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/fc07ca8e-8dc0-ff6a-1f1f-b5fd6d692c4f.png)

- よくセキュリティ版RPAなんてキャッチーな表現を聞いたりしますが、巷のRPAのようなマウス操作を覚えさせるようなことはできません。
- セキュリティ製品やIT機器との**API連携**を中心として自動連携が得意なツールです
- 連携先の3rd Party製品をつなぐAppが充実しているのがウリ（2020.02.04時点で３００近くある）
![スクリーンショット 2020-02-04 22.55.18.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/0859b58e-569c-08d6-e2d0-aaf59854b972.png)


- API連携なら自分でpython組んでメンテナンスもできるという方は自作できる領域だと思いますが、そんなハンドメイドする時間も割くのが惜しい方向けのツールがSOAR製品のPhantomです
- Phantomでは自動化する処理をPlaybookと表現します。
    - 例：マルウェア調査Playbookや、フィッシングメール対応playbookなど
![スクリーンショット 2020-02-04 22.58.21.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/1c3997e2-a73d-cc1e-5218-3e1f89897048.png)




何を自動化しようか
---
- phantomがでよく利用される代表的なPlaybookベスト５！
<img width="795" alt="スクリーンショット 2020-02-04 22.14.51.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/f56c4b70-ea33-d63e-42f5-9b3e9abefe38.png">

- というわけでまずは１位のフィッシングメール対応Playbookを作成して自動化してみたいと思います。

まずはCommunity版の環境準備
---
- Phantomは無償で試せます
    - Community版の制約:１日１００アクションまで利用可能です。ざっくりとplaybookが100回実行できると考えてよいです。しっかり使いたい場合はSplunk営業からTrial（期限付き機能制限なし）をもらいましょう
    
> (a) No-Charge Community Edition. If you acquire a license to a free “Community Edition” version of Phantom software, it will contain limited functionality after reaching the permitted number of daily Actions, such limit being one hundred (100) Actions per day unless otherwise specified by us. 


- まずはPhantom Communityサイトで[登録](https://my.phantom.us/signup/)してログイン
![スクリーンショット 2020-02-04 22.17.57.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/50b73047-c8de-62b7-e067-56984514da48.png)
- PhantomはOVAイメージと、rpmパッケージと、AWSのAMIイメージで提供しています。おすすめはOVAかAMIですね。楽ちんです。
- インストール方法は以下のマニュアルがまとまっていますのでこちらを元にOVAかAMIで準備をします
    - https://docs.splunk.com/Documentation/Phantom/4.8/Install/GetSplunkPhantom
- 参考：OVAイメージのEvaluation用のシステム要件はこちら
![スクリーンショット 2020-02-04 22.25.13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/e4114600-2292-df05-ede5-497d20e9f97f.png)
- Storageがちょっと大きいですね。。
- ネットワーク要件はクラスタとか組まなければこれくらいです
<img width="893" alt="スクリーンショット 2020-02-04 22.41.19.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/3670ddcc-88bb-e29c-ff06-86f93b17444b.png">

- インストール完了して、phantomのログイン画面がでてくればこんな感じ
![スクリーンショット 2020-02-04 22.53.14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/ff3f781a-9ad6-b38e-8ee2-e159f237ef77.png)


初期設定
---
- Administrationを中心にシステム設定を済ませます
    - company settingsの設定（Info）
![スクリーンショット 2020-02-04 23.08.00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/9014fe6f-8ad9-274b-a6f1-f1f6e74a80a6.png)
    - company settingsの設定（Dashboard） ※必須ではないです
![スクリーンショット 2020-02-04 23.11.14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/5f926401-1262-6c7b-e012-519a299a172a.png)


Next
---
- 次回はPlaybookに関連するアクションを利用できるようにするためにAppsをいくつか設定していきたいと思います。
    - [SOARやろうぜ！無償のPhantom Community版使って。~App設定編~
](https://qiita.com/odorusatoshi/items/97efa31be7db4175392e)