威胁情报技术应用沙龙活动讲义

׹$㖊۶۪Lڀ࣐࠺௉ ࡕNࢇ੣੣Т ˛਒઒׺਄ەܕਈԃЊࣿ※ՠҁސࠄ ˛׺਄ەܕਈԃதۨƒ‰÷৅ ˛׺਄ەܕ֨㫓Ұৠৌ؍¡фⒸ$ङݍফЊځऀ ˛޴அޗ$˛޴ƒӹ࡟˛޴I$ߛמ壝Ғەܕ֫ްؘ№ 讥闖搨諨櫬罆樨ę妃濠牯尭壒 ৡ੡،e׹$㖊۶§Ⓒ੐ӥ઎ઐVள䧻 ࣹ$ Contents Part1ܙیЉ੕ӏ㓢ષ Part2ৡ੡׹$㖊۶࣏㓆՟Ҁ§Ⓒݱߥ Part3՟Ҁىީ Part1 ڡӸܙیЉ੕ӏ㓢ષ ளݝgযছ،e୔㑴୻ੌ׹$㖊۶ eࣁ،eڤԍД㈮ ؄ٍ،eѼॸࠆړذ୰јНট 㖊۶ৗԂҺх,߄$ѼॸԖ،e࣏㓆 p੐׹$Њ‡Ԗ[ୈૼી->к৊যੑଝ+ßN୔㑴L‡$Њݙ,ڤۉ՟Ԃ ""تव”gযছी୎ت۱㗍ࢇ㗍䎾,૝]$ݙӟжѝમԍ: ӸޫӔהڭ39; ݙӟݱړיߞԖ; p੐ݙӟAPTԖ; Q୧ࢩ㓆୰Ն½; ѭঞg،e୔㑴ݱړދi㗍Նܡ੊੎৏。 FW/WAF ૕ࣙ୔۵ ৡ੡،e ׹$㖊۶z ‰૮㖊 ۶ৗԂ NDR/IDS 3ଞ࡚߳ SOC/SIEM،e૜ਗ TIP/TIM ׹$ॡࣂ ݤ؀ক࡛ݿі,Јэ୻ੌҺхЊ‡g׹$㖊۶.ܶ ]ݙ୔ৗԂ,]୻ੌૡ—÷ԅڟਸ਼‡ઞࡼg$ݝକ ঴,ڤۉ৶㓬࣏㓆ոૹࣘࡲଂ,ૹ૚ذઞ§.஝୤жѝ.㖊۶Çלݤܨૡਸ਼‰՟9߅¢һ৊Ԗձ½, ܶ]،eॡࣂݝࢴ,ǽ࣏㓆Һદ。 јݙӟীੑ੔,ßNՆ½ઞ§ޛ୿஄,ݙӟਸ਼Нܗڪ,૜ਗׁक׹$㖊۶.ݙӟ஄㖊۶ .‡ª㖊۶@㣊@‰Ԗڀ㓪տڀ ৡ੡׹$㖊۶۪LৗԂ$੒ $Ќٺࡤङރgߛ࢛+ׂ]ݸஅ৆௠ङ׺਄ەܕࣿф଍ੈ Cঀ؍¡:ৄঀஅܔ˛[ৠஅܔ Bঀ؍¡:3୏ࠒࡹ˛؍¡଍ੈ˛žஅܔX A৻ৠׂॅރg:DNS˛Whois Џԇஅܔރg:ܵfi˛Ѣӈ࠭峠 fl࢛ەܕ଍ੈ №࢛˛ৼঝ˛ࣿո№ߊ঒ࣲރg஑֙˛ׂ]ࣔګङԆߓ ؘѽҼ৻ӣߤ˛ƒ঎הࣲ … ݸӠߛ࢛ࠒࡹەܕ ]஘Hߑࠒࡹەܕ @ў߽$gƒەܕ ௲ࢱф˛Џԇ׺਄ەܕ $ئङ[y@इҦەܕ ߛ࢛଍ੈфⒸԗ z$žऀۯ ;Џ঴IDCऀۯ З] ऀۯ $ئङځऀ֫ް,ܴ৒଍ੈԆڠەܕ½୏ Part2 ৡ੡،e׹$㖊۶§Ⓒݱߥ API flQ]ӆ ݉ߓƒୗ §Ⓒ1:׹$㖊۶zߓAPI ਒઒ॠõؘ௠؜ ՠҁѪѴ׺਄ەܕ$ڶ žঀ؍¡଍ੈٵę ߲ત୒; API ߲ત୒; ՟Ҁѩѳ§Ⓒ SOC/SIEM 㓆ԍۀऍ R ୂ০ࠥڔ (ॐ۞֣) •‰ेچ௤˛ޏ௪چ௤˛ࠒ[ࣤ௤ •ݵܴ߲તەܕ˛߽$୒;X:g ߆ԇސڔ •ܷ஬ઌஃ,ࢲࡴ۽ي ځऀџқ •ઌஃݎДঝӰ •߲તௌچ(ࠩ/מ) •ઌஃޞ୸(ٶ) ߞޯ࡚߳ ND ž߲API ֌Џԗࠥڔ сі࣒ flQஉ№APIதۨ ୂ০ե ৻ৠՕऀ Mֺࠄ҆ தۨЊځऀ3№ ڀ࣐@‰(׹$㖊۶zߓAPI) TIX-API(ž߲API) Օएৠৌ੧figƒ֫ް@ў߽$׺਄߲௠֫ް ପଋ3୏ࠒࡹङԙ୆,ՕQ࣫ӄৠङੴƒHߑ(ԏফ ˛APT˛ե୹ӯऀX),જӰA৻ৠҋߛ࢛IPङݸӠ ًۅ,ஊƒ[ৠ੧fi$ࢄՃ‰۟ӄؠ˛࠭峠擳௨Xঝ ֺङબࡌ澞 ֨ৄঀ˛ଽўৠҼQ࣫ङՕए@ў,ر@ўHash߲ત@ўҒઉݎД,љੂՈࢋچӣߤङ@ўङ:ږݲ˛ல※˛Ԉ※੧fiӣߤৈ$,જӰ௤Ԯ+Ӏૺਾ@ў澞 ճઊ଍ੈЊзўӣߤ֫ްৠॻஅܔЊי୥જӰ֫ް ୓ث؍¡଍ੈ$ङࢁ୏ճઊ,ԙ୆ەܕՕ଒੧ӣઞչ;ѹҼ୰׺਄澞¢ׂ]ەܕ[y@Ғێ, ௲ؚइҦ˛Ҽ৻߽$ҒێX,;ѹ҈োߛ࢛Ⓒৃ /֝Ѫ˛ƒܧ۪ऱؘ૯ѡ澞 ୓ثऀۯ଍ੈङৠॻ[࣫ङՕएי୥URL,଒੧׺਄ঝ ֺજӰ,Q࣫®ঝ௎க,ԕܬܵfi,ې۞yૺ,௰૑ ࡀږ3,ݺ࡞‰۟ӄؠږ3X澞 §Ⓒ2:׹$㖊۶ޯ֩ڕݓSDK SDKLITE SDKૹ୏࣍ SDKPRO SDK௤঴࣍ ॠõؘ௠؜ ׺਄ەܕ$ڶ ]ঃާª SDK-LITE NDR SDK-PRO IDS SDK-LITE SOCSIEM SDK-PRO 㓆ԍۀऍ H۸ࣔۅ ௤ବ ߲ત ৼࢾ֫ް ƒি ࠒࡹ H۸ࣔۅ ݤܨ e஄ ৼࢾ֫ް न঎ 9߅ தۨфⒸ:FW˛WAF˛IDSۅਈ&ރg୏:ڳƒ঴/$Ѕ ୳ۉ§Ⓒ:SOC/SIEM˛NDR ۅਈ&ރg୏:ࡄƒ঴/K঴ ঴ҿîࣔۅ:؏¡ࢽ޾ޏҿîࣔۅ:Օॹୂ০ ٺӃؠ:¡ୂH3flQધę,֢фԗݱҁ঩৏,x86&ARM;ޗ҉૓:ޗ஬ރgڀⒸў,ޗ஬OSո½߆ԇݵܴ,ޗ஬ௌי঩৏଒№; №ٴ܃:Խ$OSЉzфࣿҒª܃Ԉ˛CPUۅਈࡦԈ; ௤ۅਈ:ݵܴ:଒№௤¢Q,࠿ƒ40Ѕ+թR,CPUԩऀ≤5%澞 Ӏ№ت$ࠆړ(׹$㖊۶ޯ֩ڕݓSDK) SDK ૷ўԕ API݉ߓflQ]ӆƒୗ сі࣒ flQஉ№SDKதۨ 䍓੸3№SDKࢬࡴ ୂ০ե ەܕ ߲ત ەܕ ޾ޏ ֌Џԗࠥڔ ՠҁѪѴ ž߆ԇ ਒઒ॠõؘ௠؜ ׺਄ەܕ$ڶ ەܕ ޾ޏ ઁө ޾ޏ SDK [அࢮ׌-ஊƒ] ]஘֛କ/יୂݸӠ ୂ০ࠥڔ (ॐ۞֣) •௤ۅਈ߲ત,ݕ҈ஊƒڏઑ •ԣԉQ࣫]஘Hߑי৻੧fi •੾तAPT˛ԏফ˛㞒№X޾:׺਄ঝֺ ځऀџқ Օׂ]ઌஃਸ֠ݕ҈۸ԕџ •Aރ •ޞ୸(ٶ) •ރgঝֺ •Aރ •ޞ୸(ٶ) ௤঴࣍ ૹ୏࣍ Mֺࠄ҆தۨЊځऀ3№ ڀ࣐@‰(׹$㖊۶ޯ֩ڕݓSDK) ૕ࣙ୔۵,‡Ҍ஝୤୙N@‰ தۨ]அࢮ׌˛WAFXଆ$ગו,ׂ]ݸӠ$ંઅ,Q࣫Օए\ې۞ߛ࢛IP,஑֙ન ܕ,—୰دॗ 3ଞ࡚߳,Q୧ß޲Ն½@‰ TIX-SDK தۨ]NDR˛NAT˛DNSXગו,ׂ]3୏[ॻઘ୼IP˛ֿդ˛URLXࣔګ,Q࣫]஘૏ф,ݵ㣜ځۄրځ澞 ،e૜ਗ,׹$жѝ9߅@‰ தۨ]SOC˛SIEMX؍¡଍ੈ$ڶٵę, ୓ثࢁ୏ճઊ଒੧ӣઞ,ݶݿ׺਄ה$வ, ৼࢾҼ୰׺਄ ॏ䎯،e,@ѝ׹$ߓயgƒ தۨ]$֪@ў୒;$ڶ,ૼԉEDR˛EPP˛Hߑ؍¡фⒸ୒;@ўHash,Q࣫؂֨ङې۞@ў,ହҲ׺਄଒—࠵۟;˛ࠦէ१Ԉ澞 §Ⓒ3:[ࠡڕݓTAV ݎД ك SDKݎД Linux Windows Mac ଒№঒ଳ Windowsۼ੧№پ Linuxۼ੧№پ HTTP߆ԇݎД TAV۾ݔ߆ԇ ମ ૾ك ࠒࡹֲࠥ WebSheII Ç㬣 … ԏফÇ㬣 ۟;ֺÇ㬣 gQࠒࡹ ਌$ࠒࡹ @ࠈࠒࡹ =଒Ӳࠒࡹ ғזֲࠥ Թঢ়ԕғז ਌$ғז ۟;ֺғז Office@ࠈғז ½ڶك ல※ࠀڔܜઆֲࠥ PEࠀڔܜઆ ELFࠀڔܜઆ OLEࠀڔܜઆ machoࠀڔ ܜઆ Թঢ়ԕઆԹ ਍÷ ਌$ல※ધУӣߤ … Ԉ※ࠥܧۼ੧ֲࠥ PEƒܧߑ ELFƒܧߑ ؐƒܧߑ ਌$ƒܧߑ ࣔګԙ୆ֲࠥ זߒધУࣔګ ԙ୆ ׍ڠ:ࠥԙ୆ ׂ]ߑ֘؆Юङࣔګԙ୆ ׂ]ࡑAѮଧङࣔګԙ୆ ݵ㣜ك … ঑ࡣڀ ૧ٵęڀ ӄ؂঒ࣲ ƒܧ@ў঩৏ ڀ࣐@‰([ࠡڕݓTAV) TAV TAV[ࠡڕݓ ॏ،e தۨ]ৄঀ㬣ࡀ૷ў,EDR,žHߑ؍¡X ৄঀ؍¡фⒸ,ࠒࡹৄঀગו$ओࡀߋfiX ׺਄@ў 3ଞ،e தۨ]NDR˛ৠҼ˛௤঴׺਄ࠒࡹXગו,ث3୏ଐԽե@ў଒੧۾ݔӣߤ,ࠒࡹWebsheIIXৠৌݸӠ澞 ‡ªॸঞ،e தۨ]z№Џԇ঩৏,ثz№ثיৠॻ,ӄ ୂHR,OA,ીԇX঩৏3૴ङ@ў଒੧؍ ¡۾ݔ,ࢠૡ؍¡ՠઁ੽ࡌ ளঃݙ୔࡚߳@‰ TAVÇ୹୓ثHVV֫ްԆڠǽਈԃ,擳௨gQ ࠒࡹ,CSଓƒÇ½ࠒࡹਈԃ Ӏ№ت$ࠆړ([ࠡڕݓTAV) SDK ૷ўԕ SDK޾ޏflQ]ӆ݉ߓ сі࣒ •Ӳԥؚۯਸ֠ •޾ޏޞ୸(ٶ) ৠৌyૺUSB/ગוݎ)ऄƒଽў ޞପ઒IMFTP/SMBX @ў֪ ݸӠ$ @ўયӊऩڣઘ୼@ўۼ੧ ઘ୼ۼ੧ ۟;@ࠈғז ۟;ओࡀғזߋfiࠒࡹճઊ @ўஜƒ ࠒࡹғז §ⒸԄৗ yૺஅܔ TAV @ўडƒ TAV ¡द۾ݔ TAV HԈஅI TAV ࠄ҆ݼ$ ֌Џԗ ࠥڔ №ଧ •ׂॅflQોऀ •உg;୿(Aރ) •޾ޏޞ୸(ٶ) бƒ݉ߓ Aރ݉ߓ flQஉ№SDKதۨ ࢬࡴ3№݉ߓ௠ચ ୂ০ե ୒;ғז ઁө ޾ޏ தۨЊځऀ3№ §Ⓒ4:ݙӟ஄ॡࣂASM ޺ரவ૏фदA Ępহ঒૏ф (Еإஅܔ$) $ܕו૏ф (⎞ݎ)அܔ) ½ઁ૏ф (ޗஅܔ˛ڞإ№) 三ސ૏ф (҈ځ֌˛יԕ) Ѣӈ૏ф (擳௨˛࠭峠) ݙӟ஄஝୤㞀№ gؤ № ݞۀॏД ݞۀާªݞۀঐѝݞۀષګ ;‡½ڵઞ§ ࢆ ࡑ ஝ ୤ ґ‰ࡁ୿Ն½ ®ঝA৻ৠQ٢˛॑;˛؂ҥٵę ާªҠڈڅࣱ࡚ ࢛ї№ ؚۯރg ঑ࡣֺࠥ ߆ԇՕऀۅӄؠ №+Ғێ @ў@ࠈ ƒୗ ଽ‰ރg 咰fiՎଳ˛В僙Q૨˛TeIegram ०ݘޚ଴ Eݛݞۀ 㔻ڿܖfi ிઠࠡ ࡉӅࢩ㓆 הߥࢩ㓆 જӰ$হ঒૏ф&߆ԇ Q࣫௎க૏ф&߆ԇ ଝ૭יৠҒێࡠரзў डࡹӄؠՠઁۅչ߆ԇՕऀۅ डࡹ޺ர֨A৻ৠङڧƒ૏ф,જӰऀۯ½ઁ ਘԈԗѠԇ,डࡹA৻ৠ޺ரவ૏ф˛߆ԇ˛ ׂ]A৻ৠ؍¡םރgݜফږݲ,ث;Џ޺ர જӰਘ$૏фQ٢߆ԇ؂֨ङӄؠՠઁۅ୼ொ˛ [ি,਍ƒ঒ƒ૏ф,љՃबҼѢӈ߆ԇ澞 ঝֺ:ৠॻ˛IP˛z÷ª˛ش№پ˛APPX澞ਸ֠:z$ž˛ड़$ԗIDC˛®ঝA৻ৠ߆ԇ澞 Ⓒў˛୆$˛૏½؂֨ङ௤Ԯ௎க澞 ௎கঝֺ:௤Ԯࢥࡰ˛‰۟ঀД˛Ⓒў˛߆ԇ,ڞإ№˛וࠄࡨӆଋߊX澞澞 ֨יङ®ঝ½ڶރg଒੧HԈQ࣫澞 ঝֺ:࢛ї№˛]№ؚۯҒێ˛ӄୂ@ࠈX澞ਸ֠:޹ৠ˛ї№ǐڀ˛TG˛ৠद˛@ڀX澞 י୥௎க˛љՃՕऀۅडࡹ澞 ӄؠ:௰૑ࡀ˛ࢄݺ‰۟˛ⒸݷЊ޹୥澞ҡgچ:ݕ҈¡ࣱਸ֠ङਘԈԗକପۅडࡹ澞 Ӏ№ت$ࠆړ(ݙӟ஄ॡࣂASM) ૃֈ/§Ⓒ୳ۉ ٜܪ޴ ઒ՙ ܪ޴¢ ࠆ߂ ࣐βەӅ ت$ৗԂڏՆەӅ (OEM) •ؙβݤxؙβઞ§੐ࠆॸݤ •Ԅৗࠆֱਇ֟ •ާªݿେ($) •৊ઁڏՆۉޯ(§Ⓒ୳ۉࠆړ) $‡ࠆړ рѕࢢ ଌॣ ݙӟ஄׹$Ն½ ૜ਗ֜୓A ،ާJ$B іࣂ૜ਗC zѧՙ ݙӟ஄ղ ਖ਼ ࣐βA ࣐βB ࣐βC سसٽ SOC/NDR/TIP Ę޲߄ Ę޲߄ Ę޲߄ Ę޲߄ Ę޲߄ Ę޲߄ ղਖ਼ૹऍ z֩ݤܨ৊N ٴęۛॡ૜ਗ §Ⓒ୳ۉت$ݱړ TIX-ASMݙӟ஄ॡࣂٴę ՟Ҁߥ҅ ࣏㓆ѩѳ ਸ਼‡࣐β Part3 ׹$㖊۶࣏㓆՟Ҁىީ ׹$㖊۶࣏㓆՟Ҁىީ ƒӔҺ$ ڏॹ੧Џƒ‰,رՠҁࠥڔे;,ރgࠀڔे;,ݐԈфⒸ୸ߊA;ଙї澞 ৗԂҺ$ ֨$ङەܕgঝ˛ࠒࡹઁөy,ׂ]AҒչ੧Џ¾ڏ˛фⒸX‰چङǽਈԃ澞 $‡ԖҺ$ ׂ]фⒸதۨՠҁङфⒸࠥڔ,۸ଭՠҁѪѴङ3ªԗѩ½,ପଋ࢑ଳAପ˛PR৻ՠ,ੂՈ޾:½ऩߑz澞 §Ⓒੰ࣐࣓੻ЖV;‡ڲґ Thanks ጾ諨櫬謤峂ꃭ氷ƒ寭 ᥦ㧗᝟嵶№潯綮,混ƒ新宏壎Ⓒ蔅墰峂Rꁫ峇婣 ி®ৡ੡ƒӔӿ㔀ࣱ ࣹ$ Contents Part1ƒӔ৔‰ Part2ƒӔӃ,ոૡى Part3ƒӔ՟Ҁոy—÷ਗ਼ӥ ׹$㖊۶ƒӔgҀ࣐ ƒ‰ङۃ۝ंߛ⎞],澦՗ઓ·@׷छ$঵澧:૱№૳,а№@ ƒ‰+ҁؼީ֨÷܇—g௤ݼ˛ઁਸङސڔ½ۨ$gऩƒ,ЌީфЏ¾જङৈ$ ƒ‰֨׺਄ەܕࣿф˛ऀଋ№$ՕљQܼ ୍੽ҁऀ澞ثەܕݤܨg১NԖדࣂ.㖊۶Һхрܦ.㖊۶ৗԂ୳ۉ.㖊۶gڀ࣐.㖊۶ઔଞƒўXgՕљऀƒ‰ߛઁਸչݕݼ ऩӹ,׺਄ەܕƒ‰H੽த$֨ރgࠀڔ˛с݅ԣઑكவ,STIX˛TAXII˛IODEF˛GB/T36643-2O18X ڡӸƒӔgܙی ׺਄ەܕĘପଋ®gސڔૐਈ;Џङ؍¡଍ੈ,$ݼݕ];ЏङHԈஅIਈԃ,]] ऽױ,Ѹӯऀࣤչݼ$԰Љـ]۞ ½$ƒӔј㖊۶ݤܨߡړ੐ਇНß,fiەܕځऀ⼨;]ׂॅ澞ѷ$[ڀ࣐ੑ੔gƒӔ ,ऀױەܕЉީ$ރgؼ੧,஬੽ם୏ङÇЏ܉ਈӣߤהࣲ,رەܕऀ]૏фજӰ˛ ׺਄ࠒࡹ/ஊƒ/ӣߤ/䇇࢛X֫ް,࣫$ƒ‰ثऀۯऀ