AISECjp #16のLTで発表した内容です。

1. Toward Automatic
Discovery and Analysis of
Open-Source Cyber Threat
Intelligenceの紹介
Tags: #security #InfoSec #IoC #CTI #DFIR

2. Who am I?
• 小野 和紀(オノ カズキ)
• Twitter: @bonjinjpn
• 職業: デジタルフォレンジック
• 会社: 富士通株式会社
• 趣味: ワイン、料理など

3. IOC
• IOCは、Indicators of Compromiseの略で攻撃された痕跡を示す
• もともとはMandiant(FireEye)が社内で使っていた規格で2011年11月
にIOCはオープン化
• IoCは共通化されたフォーマットがないがMandiantが作成した
OpenIOCが事実上のデファクトスタンダード
• OpenIOCはXMLで定義されている
• レジストリキー、マルウエアファイル名、C2 IP/Domain、ファイルの
MD5ハッシュなど

4. IOC

5. IOC

6. 問題点
• 自然言語なのでマシンリーダブルではない。そのため、セキュリティ
アナリストが手作業でIOCを作成している
• Web上にある記事の量が増大
• 専門的、間違いが多くて情報収集ツール
では対応できない

7. iACE(IOC Automatic Extractor)

8. iACE

9. Blog Scraper(BS)
1) テクニカルBlogの記事を全部収集する
2) 1)の後、Blog更新のモニタリング

10. Blog Preprocessor(BP)
• Blog内の広告やLoginページなどテクニカルページ以外を削除

11. Relevant Content Picker(RCP)
• IOCに含まれるような文字列をパースする

12. Relation Checker(RC)
• XXXXXX

13. IOC Generator(IG)
• IOCの作成