SOARやろうぜ！無償のPhantom Community版使って。~App設定編~

前回のおさらい
---
- [SOARやろうぜ！無償のPhantom Community版使って。~準備編~](https://qiita.com/odorusatoshi/items/29aa54da7ef5ddfdbe96)

本記事のスコープ
---
1. Phantomの理解とインストール
2. **実現したいPlaybookのサンプルを選択 ←ここ**
3. **必要となる連携Appを設定 ←ここ**
4. Playbookを編集
5. Playbookを実行

Playbookの確認
---
- メニューからPlaybooksを選択
![スクリーンショット 2020-02-05 7.24.02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/a501c49a-e2f8-029f-d9f2-0e0479b439c5.png)

- 以下を検索
    - phishing_investigate_and_respond
![スクリーンショット 2020-02-05 7.25.55.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/38463c33-b04d-a071-af55-0a76b6adb252.png)

- 3つ出てきていますが
    - １行目は、REPO=communityとなっています。これはcommunityレポジトリからDLしたものという意味です
    - ２行目は、REPO=localとなっています。これはREPO=communityのplyabookを編集する際に複製されたものという意味です
    - ３行目は、NAME=phishing_investigate_and_respond_v2となっていますが、これはREPO=localのplaybooksを直接編集するのではなく、コピーしてローカル編集した独自のplaybooksという意味です。（編集前にオリジナルを残す目的）

- 最初はREPO=communityしか出てこないと思うのでそちらのルールをクリックして編集メニューを開きます。すると以下の画面が現れます
![スクリーンショット 2020-02-05 7.31.13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/8240dcd9-cdfe-ec28-e983-f311fabd913c.png)

- MISSING ASSETSの警告が出ているので、RESOLVE MANUALLYを選択して中身の構成Appをcheckします
![スクリーンショット 2020-02-05 8.04.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/2bddd09b-75f7-4a57-595f-7cde7704ee0e.png)

- [Show All]にしてどのようなAppが必要かcheck
![スクリーンショット 2020-02-05 8.06.03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/ce8c559f-45e8-38f5-bf54-51b3881dc7ec.png)

- わたしの環境には既にいくつかのAppが設定されているので見えている数が違うかもしれませんが、ここでplyabook内に使われるappのasset名が確認できます
    - threatgrid
    - isightpartners
    - screenshot machine
    - cbprotect
    - domaintools
    - opendns
    - dns

- もともとplaybooksはgithubでも管理されているのでそちらのjsonファイルを見ると中身がよくわかります。
    - githubのjsonファイル
        - https://github.com/splunk/playbooks/blob/4.2/phishing_investigate_and_respond.json

> "misc": { "apps_list": ["VirusTotal", "DomainTools", "WHOIS", "MaxMind", "OpenDNS Investigate", "Carbon Black Response", "WildFire", "LDAP", "iSight Partners", "Screenshot Machine", "Threat Grid", "DNS"] },

- 一度playbookは閉じて、次に必要なappを設定していきます。

必要なAppの設定
---
- 今回は、簡単に利用できるAPIを厳選して設定していきます。
    - Virustoal
    - MaxMind
    - ScreenShot Machine
    - WHOIS

- 最初にAppのローカルレポジトリを最新に更新します。「APP UPDATES」から実行。
![スクリーンショット 2020-02-05 8.44.23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/e9282f1f-b483-d337-9f67-8ac7625cf30c.png)


### Virustoal
- 無償でhash, IP, URLなどのレピュテーション調査が行えるAppです
- virustotalに会員登録して、Free版のAPIキーをGETします。フリー版はAPIリクエスト制限回数がありますが評価時には使えます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/00c8dd67-e7d4-f563-00fc-cc00bdf064dc.png)

- phantomのAppメニューのunconfigured appからvirustotalと検索して「CONFIGURE NEW ASSET」をクリック

- 任意のAsset Name(例：virustotal)を入力
![スクリーンショット 2020-02-05 8.45.37.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/a6d396fa-67fa-7adb-63a2-785b030ae96e.png)

- Asset Settingsタブに移動してAPIを設定
![スクリーンショット 2020-02-05 8.46.35.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/9754e0cf-af13-e788-3ea9-65a24d45ef20.png)
※地味にLimit Number of requests to 4 per minuteはチェック入れておいたほうがいいです。

- TEST CONNECTIVITYでAPI接続確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/d4db5e1b-4c1f-c303-34e7-e8aa6872adb3.png)

- test passedならvirustotalのasset設定は完了です。

### MaxMind
- IPアドレスからGeoLocation情報をもってくるためのAppです
![スクリーンショット 2020-02-06 8.01.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/15b6b453-06ce-d82f-4790-dfdad847b66e.png)

- Configured Appsとして設定
- maxmindもappの設定は、google mapとの連携をしておくと便利なのでgoogle mapのAPI取得から始まります。
- Google map API利用までの設定方法(Freeでも使える)
https://developers.google.com/maps/documentation/javascript/get-api-key
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/0d197b1c-b420-978b-1842-47e9a0b110de.png)

- Maps JavaScript APIを有効化します
<img width="833" alt="スクリーンショット 2020-02-05 9.55.36.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/85ee2304-144c-d32f-4d66-1ea3d46ae5f6.png">

- GCPのコンソールにてAPIキーを有効化
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/fb34b5ab-7b79-d9a3-213a-41c89b7d4e1c.png)

- Phantomのコンソールに戻って、Administration - Administration Settings - Google MapsにてAPIを設定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/284b879e-72fe-3c1d-c7f9-9b944764c0e5.png)

- これでMaxMindの準備は完了です

### ScreenShot Machine
- URLにアクセスして、ページViewをスクリーンショットしてきてくれるAppです
![スクリーンショット 2020-02-05 10.01.21.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/49b6e431-5415-44b8-ee33-16f9e1196824.png)

- まずはAPI取得のためにアカウント登録
    - https://www.screenshotmachine.com/
- APIのTrialをリクエスト
![スクリーンショット 2020-02-05 10.05.05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/2ee3330c-455c-01d1-db52-04f03c684ed9.png)

- 月100回までスクショがとれるらしいです
![スクリーンショット 2020-02-05 10.06.03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/bd364327-bfc0-230d-b062-a4b7d537a728.png)

- PhantomのAppにてAPIを設定します。TEST CONNECTIVITYでチェック。
![スクリーンショット 2020-02-05 10.08.36.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/07ab12a3-8f0b-1b64-2a8d-f796125b315a.png)

-Screenshot machineの設定は終わりです。

### WHOIS
- whoisデータベースの問い合わせ用appです
![スクリーンショット 2020-02-06 8.01.23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/7699b288-ebca-38be-067b-c43930f58f17.png)
- Configured Appsとして設定
- 以上。


おまけApp(なくてもOK)
---
### LDAP
- ActiveDirectoryサーバに対してLDAPクエリをかけてユーザ情報をもってきたり、ユーザーを無効化することもできるApp
![スクリーンショット 2020-02-06 8.05.24.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/1e9a1435-3aa7-e1f2-b728-7e18020d1348.png)
- Administratorなどの管理者ユーザを設定
![スクリーンショット 2020-02-06 8.06.35.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/068be219-4f4c-febe-e22d-7f2c91ee369c.png)
- TEST CONNECTIVITYでpassすれば設定完了

### Office 365
- 指定メールボックスに入ったメールを自動取込するためのappとして利用
<img width="640" alt="スクリーンショット 2020-02-12 22.18.43.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/7d54b93c-1b74-c320-8240-1ba1a83b0c06.png">

- Office365側の設定ガイドはappのDocumentationをクリックして参照
<img width="862" alt="スクリーンショット 2020-02-12 22.21.15.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/fa720a4d-ba73-0169-9b74-732232bcd361.png">

- Office365側の設定は慎重に見ながら進めてください。
<img width="647" alt="スクリーンショット 2020-02-12 22.24.12.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/aba1dc3e-edd4-bbf6-e06a-2bd45933a782.png">

- Office365の設定を済ませて簡単なbasic認証でメールを受信取得するように設定
<img width="841" alt="スクリーンショット 2020-02-12 22.19.13.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/dd1c65d6-dd75-a8b0-bfee-6746522e89e9.png">

- **わたしがハマったポイント**
    - 存在するMailboxを作成していなかったため、メールの収集に失敗。
 <img width="446" alt="スクリーンショット 2020-02-12 22.26.32.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/8ce44a14-6c7f-1e77-5472-85481936782e.png">

    - ちゃんと指定したメールボックスを作成することを忘れずに。
<img width="411" alt="スクリーンショット 2020-02-12 22.26.58.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/d3d16172-8e81-a93a-04d0-17cce28d34cd.png">

- メール収集インターバルも設定忘れずに。
<img width="862" alt="スクリーンショット 2020-02-12 22.21.15.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/637d76be-f6fc-968e-303b-3bf93c0ed333.png">

- test connectivityが成功すればOK
<img width="753" alt="スクリーンショット 2020-02-12 22.28.35.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/4e89c521-3cab-930b-02d9-3c74864e6a88.png">


Next
---
- 設定したAppを元にplayookを修正しながら動くものを作りたいと思います。
    - [SOARやろうぜ！無償のPhantom Community版使って。~Playbook設定編~
](https://qiita.com/odorusatoshi/items/e88d7dc05cee2fffedec)