[PhantomでSOAR] 不審メールの調査まとめをSlackに飛ばす

はじめに
----
- Phantom過去記事も見ておいてください
    - [SOARやろうぜ！無償のPhantom Community版使って。~準備編~](https://qiita.com/odorusatoshi/items/29aa54da7ef5ddfdbe96)
- Phantomを触り始めた方のためにハマりポイントを交えてappやplaybook作成方法を残していきます
- 今回は不審なメールをphantomに取り込み、分析結果をslackで受け取る方法です
- 利用Phantom Version
    - 4.8.24304

想定シナリオとワークフロー
----
####不審メール調査フロー
1. ユーザーが所定のメールボックスに不審なメールを転送
2. IMAP連携でphantomにメールを取り込む
3. 添付ファイル/URLをレピュテーション/Sandboxサービス評価
4. 評価結果をまとめてslack通知

<img width="1108" alt="スクリーンショット 2020-06-05 11.39.44.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/7275a58f-af62-e3a1-43ca-39aa8da1e19c.png">


設定方法
----
- まずはこのSAMPLEプレイブック（[Mail_Investigation_Sample.tgz](https://github.com/odorusatoshi/phantom-playbook-sample/raw/master/Mail_Investigation_Sample.tgz)）をphantomにインポートしてみてください

- ↑のフローをphantom上で表現したものがこちらです

![スクリーンショット 2020-06-05 12.16.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/48846be8-c9d6-99ed-20b1-753bc78b0fad.png)


- 不足しているApp(及びAsset)の警告がでると思いますのでを以下のAppを設定し、実在するAsset名と紐付けてあげれば再利用できます。
    - 必要なApp
        - IMAP：メール取り込み用
        - VirusTotal：レピュテーションチェック
        - Hybrid Analysis※：Sandboxサービズ
        - Slack：通知

- URL/Domainのホワイトリストを作成してください。不要なレピュテーションチェックを避けるために有効です。**list内のレコードは部分一致ができないので要注意**

![スクリーンショット 2020-06-05 13.57.32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/6be61bd3-18ba-d8ae-6267-2b3efd6742ea.png)
  

一番設定に苦労した２つのappの設定ポイントを紹介
----
### IMAP App
- spam調査用のメールアカウントを作成し、不審メール投げ込み先のメールボックスを用意（今回はtrashフォルダ）
- ポイントはメールボックスを**英語**で用意しておくことです

<img width="190" alt="スクリーンショット 2020-06-05 13.39.36.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/60a43bed-196b-1647-873b-79d91a4f51d4.png">

- **trash**フォル名を指定します

<img width="704" alt="スクリーンショット 2020-06-05 13.25.29.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/a4cb5b4e-a898-35b0-7786-acb7647ebad9.png">

- メールは２分間隔でIMAPサーバから自動取り込みして、**emailラベル**を適用します

<img width="364" alt="スクリーンショット 2020-06-05 13.28.13.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/74a8433d-678a-0e85-e976-1e1241d3493e.png">

- このemailラベルと「Mail_Investigation_Sample」のplaybookのラベルを合わせておくと、自動的に処理されます

<img width="543" alt="スクリーンショット 2020-06-05 13.42.53.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/b2df8036-1641-2399-3e0e-dbe2b0744aa8.png">


### Slack App
- Slack Appの設定手順が若干古い
    - 修正依頼をかけていますが、英語でメモは残してあります。以下ご参考ください
    - https://github.com/phantomcyber/phantom-apps/issues/262


### Hybrid Analysis(Falcon Sandbox)
- 無償のSandboxサービスが利用できます。
- Sandbox環境のOSを指定してfile/urlを投げ込み解析をします。投げ込み先の環境IDはplaybook内のactionで指定しています。

![スクリーンショット 2020-06-05 14.03.15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/d5c899ef-e305-eb32-a392-699b6adb8952.png)

- 110の場合は何かというと以下Hybrid AnalysisのAPIガイドに記載あります
    - https://www.hybrid-analysis.com/docs/api/v2
    - "/system/environments" endpointを見るとわかります。


実行するとこんな感じになります
----
- 見たい情報にまとめた通知内容

<img width="369" alt="スクリーンショット 2020-06-05 13.19.52.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/ac6f28bb-e7f4-6530-3279-5da23b984a38.png">


- Phantom画面上でもplaybook内のaction結果のサマリが確認できます 

<img width="913" alt="スクリーンショット 2020-06-05 13.20.37.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/9a063d59-0504-c847-76ec-f6c68ea4a711.png">



ハマリポイント
----
- 通知先をslackからSMTPに変更した時の注意点
    - SMTP Appをつかってメール送付する際に、日本語文字を使いたい。そんなときは以下Enableを忘れないこと

![スクリーンショット 2020-05-22 23.30.55.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/ff67b423-f195-027d-5169-3e0abe36f152.png)



まとめ
----
- Detonate Fileはセキュリティ的に危なくないか？
    - ファイル/URL自体をコミュニティSandboxサービスに投げるので、**ファイルが共有されてしまうリスク**は理解しておきましょう。ただしあくまで不審なメールとして**ユーザによって調査してくれ**とリクエストがあったものです。不審メール問い合わせ運用の注意書きに書いておきましょう。
- 試してみたけど、、、salck通知文をもっとわかりやすくしたほうがいいなどのフィードバックあればいただけるとありがたいです。