目次
SOCにおけるドメイン・IP調査の課題
SOCやセキュリティチームでは、不審なドメインやIPアドレスが検出されるたびに、登録情報やリスク、関連インフラを調査する必要があります。
しかし、複数のサービスを行き来して情報を集めていると、調査に時間がかかり、重要な脅威への対応が遅れることがあります。
DomainToolsは、Splunk、Google SecOps、Microsoft Sentinel、OpenCTI、Cortex XSOARなどと連携できます。
普段使用しているSIEM、SOAR、TIPにDomainToolsのデータを組み込むことで、既存の運用環境を活用しながら、ドメイン・IP調査を効率化できます。
Splunkとの連携
DomainTools App for SplunkおよびSplunk Enterpriseでは、IrisQLとDomainToolsのIPフィードを利用できます。
IrisQLをSplunkの検索処理言語で使用し、高リスクなホスティングIPアドレスのライブデータを組み合わせた検索や検知を行えます。
- 単一クエリによる広範な攻撃キャンペーンの検出
- 組織のリスク基準に合わせたIPブロックリストの作成
- 指定したC2の特徴と一致するIPアドレスの検出
- 過去のメールアドレスやドメイン登録者名の検索
- RDAPまたはWHOISデータを対象とした検索
作成したIrisQLクエリは、テキストエディター、チケット管理システム、コラボレーションツールなどへコピーして共有できます。
調査条件をチーム内で再利用できるため、調査手順の統一にも役立ちます。
Google SecOpsとの連携
DomainToolsのReal-Time Threat Feedsは、Google Chronicle／Google SecOpsへ直接取り込めます。
標準のYARA-L検知ルールとChronicle SOARプレイブックも利用できます。
- DomainToolsの脅威フィードをGoogle SecOpsへ取り込み
- YARA-Lルールによる不審なドメイン・IPアドレスの検知
- Irisルックアップによる関連情報の取得
- Chronicle SOARプレイブックによる調査フローの自動化
テレメトリ内で不審なドメインやIPアドレスが確認された場合に、Irisによるルックアップを自動的に実行できます。
アラート発生後の情報収集を自動化し、アナリストによる手作業を減らせます。
Microsoft Sentinelとの連携
Azure上のMicrosoft Sentinelでは、DomainToolsのReal-Time Observability Feedsを利用できます。
- NAD：新規アクティブドメイン
- NOD：新規観測ドメイン
- NOH：新規観測ホスト
- DomainDiscovery
これらのフィードをMicrosoft Sentinelへ取り込むことで、新たに確認されたドメインやホストの監視、分析、脅威ハンティングに活用できます。
SOAR・TIPとの連携
DomainToolsは、SIEMだけでなく、SOARや脅威インテリジェンスプラットフォームとも連携できます。
- Cortex XSOAR：IP RiskおよびIP Hotlist Real-Time Threat Feedを、自動プレイブックのサンプルから取り込めます。
- OpenCTI：Iris Investigate API、Iris Query Language、Iris Detect API、Real-Time Threat Feedsを利用できます。
- Torq：IrisQLとDomain Historyを使用し、WHOIS／RDAP、DNS、Webコンテンツ、スクリーンショット、SSL証明書の変化を追跡できます。
- Cyware CTIX：Iris Investigate APIのレスポンスに含まれる情報を、調査や対応に利用できるデータポイントとして活用できます。
DomainToolsの情報を既存の運用基盤へ取り込むことで、ドメイン分析、関連インフラの把握、リスク確認、対応の自動化に活用できます。
DomainToolsを連携するメリット
DomainToolsは、CrowdStrike、Palo Alto Networks、Anomali、Google Chronicle、Elastic、Splunkなどの主要なセキュリティプラットフォームとの技術連携に対応しています。
既存のSIEM、SOAR、TIPからDomainToolsのデータを利用することで、次のような運用改善につなげられます。
- 不審なドメインやIPアドレスの調査時間を短縮
- アラートに脅威情報を付与して優先順位を判断
- 高リスクなIPアドレスのブロック候補を作成
- 検知後のルックアップや情報収集を自動化
- ドメインや関連インフラの変化を追跡
- 調査クエリや判断材料をチーム内で共有
新しい調査環境を別に用意することなく、普段使用しているセキュリティツールからDomainToolsのデータを利用できる点が大きなメリットです。
まとめ
DomainToolsをSIEM、SOAR、TIPと連携することで、不審なドメインやIPアドレスの検知、情報収集、リスク確認、対応までの流れを効率化できます。
- SplunkでIrisQLとIPフィードを利用
- Google SecOpsで脅威フィードと自動ルックアップを活用
- Microsoft Sentinelでドメイン・ホストの観測フィードを利用
- OpenCTIで大規模なドメイン分析とインフラマッピングを実施
- Cortex XSOARなどのSOARへリスクフィードを統合
- Domain Historyでドメイン関連情報の変化を追跡
当社はDomainToolsの正規リセラーとして、製品の導入、ライセンス、対応プラットフォーム、連携構成に関するご相談を承っています。
自社環境で利用できる連携機能については、お気軽にお問い合わせください。
今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！