Splunk 위협헌팅 #3 - 로그 예외처리의 중요성 (2024)

about absolroot

blog

linkedin

resume

위협헌팅을 할 때 가장 중요한 것은 좋은 쿼리문도 좋은 대시보드도 아닌 “정상 로그 예외처리”를 통한 로그 최적화가 가장 중요하다.

이후 현재 상태는 안전하다고 가정, 현재까지 식별된 정보들을 예외처리한다.

Trusted User IP List

HTTP User Agent

WebShell type file (php, jsp. asp …)

DNS Query

Suricata Alert (src_ip → dest_ip & alert)

index=zeek sourcetype="corelight_http" | search NOT [|inputlookup whitelist.csv |fields src_ip]| where isnotnull(http_user_agent) | stats count(http_user_agent) as agent_count by http_user_agent | table http_user_agent, agent_count| outputlookup agent_before_used.csv

index=zeek sourcetype=corelight_http uri!="-"| rex field=uri "(?<filename>[^\/\\&\?]+\.\w{2,4})(?=([\?&].*$|$))"| eval filetype=if(match(filename,"\.(dbm|cfc|cfml|cfm|lib|cgi|pm|pl|jspf|jsv|jsw|inc|php4|php3|phtml|htm|html|asa|aspx|jspx|php5|php|jsp|asp|htaccess)\b"), "shell", "not_shell")| where filetype == "shell" AND filename!="-"| dedup filename,dest_host| table filename, dest_host, dest_ip, uri| outputlookup webshell_before.csv

index=zeek sourcetype="corelight_dns" | search NOT [|inputlookup whitelist.csv |fields src_ip]| where isnotnull(query)| dedup query| table query

”1abc.google.com”, “2ab2.google.com”, “345.google.com”

query!="*Your Domain*" 내부 자산에 대한 접근은 필터링하지 않도록 한다. (커스텀)

query="*.*" 서비스 질의가 아닌 도메인 접근만을 살펴본다.

"(?:[^.]*\.){0,2}(?<last_two>([^.]*)\.([^.]*)$)" ”.”으로 나눈 뒤 맨 뒤 2 단어만 추출한다.

match(last_two,"(co|com|go|gov|edu|ne|or|org|ac|net)\.")co.kr, co.jp 는 일반적인 도메인이므로 제외하지 않도록 체크한다.

해당 도메인에 대한 다른 종류의 쿼리 질의 회수가 5회보다 많을 경우 출력한다.

index=zeek sourcetype="corelight_dns" query != "*Your Domain*" query="*.*"| search NOT [|inputlookup whitelist.csv |fields src_ip]| dedup query| rex field=query "(?:[^.]*\.){0,2}(?<last_two>([^.]*)\.([^.]*)$)"| stats count(last_two) as domain_count by last_two| eval common_domain = if(match(last_two,"(co|com|go|gov|edu|ne|or|org|ac|net)\."),"YES","NO")| where domain_count > 5 AND common_domain="NO"| sort -domain_count| eval query = "*." + last_two| table query, domain_count

gtm-cn-4590x3tmp04.gtm-a2b4.comgtm-cn-tl32pap9m03.gtm-a2b4.comsun6-20.userapi.comsun6-21.userapi.com

regex query=".*[a-zA-Z0-9]*\d{2,}[a-zA-Z0-9]*"알파벳 대문자, 소문자, 숫자와 함께 2개 이상의 숫자를 포함하는 모든 문자열 (a02, 99z 등)

search index=zeek sourcetype="corelight_dns" query != "*Your Domain*" query="*.*"| search NOT [|inputlookup whitelist.csv |fields src_ip]| search NOT [|inputlookup random_dns.csv |fields query]| regex query=".*[a-zA-Z0-9]*\d{2,}[a-zA-Z0-9]*"| stats count(query) as query_count values(src_ip) as query_sip by query| eval len_query = len(query)| table query, len_query| sort query| sort -len_query

index=zeek sourcetype="corelight_dns" query != "*Your Domain*" query="*.*"| search NOT [|inputlookup whitelist.csv |fields src_ip]| search NOT [|inputlookup random_dns.csv |fields query]| where isnotnull(query)| dedup query| table query| outputlookup query_before_used.csv

index=suricata src="*" OR dest="*" OR dest_port="*" alert.category="*"NOT alert.category IN ("Generic Protocol Command Decode")| search NOT [|inputlookup whitelist.csv |fields src_ip]| eval epoch_time = _time| stats count as C by alert.signature src_ip dest_ip dest_port | table alert.signature src_ip dest_ip dest_port C| outputlookup suricata_before.csv