前回、OpenCTIを構築し、MISPと連携するところまで実施しました。
そこで今回はさらに、VirusTotalとShodanを連携させてみて、OpenCTIから確認できる情報がどうかわるか確認してみました。
１．VirusTotalコネクタのインストール
MISPの時と同様に GitHubの以下のサイトから VirusTotalのdocker-compose.yml をコピーし、OpenCTIのdocker-compose.ymlに埋め込みます。
OpenCTI-Platform /connectors https://github.com/OpenCTI-Platform/connectors/tree/master/internal-enrichment/virustotal
そして以下のコマンドを実行します。
docker-compose up -d --build
すると以下の通り既存のコネクタを含めたアップデートとインストールが行われます。
このあとOpenCTIのコンソールを見ると、VirusTotalが追加されていることが確認できました。
shodanのコネクタについても同様の手順で行います。
２．インディケータのエンリッチメント
VirusTotalとShodanをインストールしたら、IoCを表示する画面の右端になる「エンリッチメント」のボタンを押してみました。
すると右側からウィンドウがせり出してきて、VirusTotal とShodanの連携情報が表示されるようになっていました。（IoCによって出たり出なかったりするようですが。）
しかしながら、それ以外の変化が見つけられなかったので、あとでもう少し調べてみようと思っています。
また今後は、cve や Miter ATT&CK とも連携させて、どんな情報が得られるようになるのか確認したいと思っています。
＜参考情報＞
以下のYoutubeでOpenCTIの操作方法が説明されていますので、OpenCTIでざっくりどんなことができるか知りたい人は参考になると思います。
コメントを残す