Analisando Logs de Transparência de Certificados TLS

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de logs de transparência de certificados TLS
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Consulte o banco de dados de Transparência de Certificados crt.sh para encontrar certificados emitidos para domínios semelhantes à marca da sua organização, detectando infraestrutura de phishing.

from pycrtsh import Crtsh

c = Crtsh()
# Search for certificates matching a domain
certs = c.search("example.com")
for cert in certs:
    print(cert["id"], cert["name_value"])

# Get full certificate details
details = c.get(certs[0]["id"], type="id")

Etapas chave de análise:

1. Consulte o crt.sh para todos os certificados que correspondem ao padrão do seu domínio
2. Identifique certificados com variações de typosquatting (distância de Levenshtein)
3. Sinalize certificados de CAs inesperadas
4. Monitore certificados curinga em subdomínios suspeitos
5. Cruze informações com infraestrutura de phishing conhecida

Exemplos

from pycrtsh import Crtsh
c = Crtsh()
certs = c.search("%.example.com")
for cert in certs:
    print(f"Issuer: {cert.get('issuer_name')}, Domain: {cert.get('name_value')}")