Implementando Playbook SOAR para Phishing

Visão Geral

Esta habilidade implementa um fluxo de trabalho de resposta a incidentes de phishing usando a API REST do Splunk SOAR (anteriormente Phantom). Quando um e-mail suspeito de phishing é reportado, o agente analisa os cabeçalhos e o corpo do e-mail, cria um contêiner SOAR representando o incidente, anexa artefatos contendo indicadores de comprometimento (endereço do remetente, URLs, endereços IP, hashes de arquivos), aciona um playbook de investigação automatizado e consulta os resultados das ações.

O Splunk SOAR orquestra e automatiza operações de segurança por meio de playbooks que encadeiam ações de investigação e resposta. A API REST em /rest/container, /rest/artifact e /rest/playbook_run permite a criação programática de incidentes e o acionamento de automação a partir de ferramentas externas, gateways de e-mail e alertas de SIEM.

Quando Usar

• Ao implantar ou configurar capacidades de implementação de playbook soar para phishing em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9 ou posterior com os módulos requests e email
• Instância Splunk SOAR (Cloud ou On-Premises) com acesso à API REST
• Token de API SOAR com permissões para criar contêineres e acionar playbooks
• Conectividade de rede para a instância SOAR na porta 443
• Um playbook de investigação de phishing configurado no SOAR

Passos

1. Analisar o e-mail de phishing: Leia o arquivo de e-mail (formato .eml) e extraia cabeçalhos, incluindo From, To, Subject, Reply-To, Return-Path, Received, Message-ID, X-Mailer e resultados de autenticação (SPF, DKIM, DMARC). Extraia URLs e endereços IP do corpo do e-mail.

2. Autenticar na API REST do SOAR: Use o token de API no cabeçalho ph-auth-token para autenticar todas as solicitações da API REST para a instância SOAR.

3. Criar um contêiner: POST para /rest/container com o rótulo do incidente, nome, descrição, severidade e status. O contêiner representa o incidente de phishing e recebe um ID de contêiner na resposta.

4. Adicionar artefatos de cabeçalho de e-mail: POST para /rest/artifact com container_id e campos CEF (Common Event Format) contendo o endereço do remetente (fromAddress), destinatário (toAddress), assunto, IP de origem (sourceAddress) e Message-ID. Defina run_automation como False para todos, exceto o último artefato.

5. Adicionar artefatos de URL: Para cada URL extraída do corpo do e-mail, crie um artefato com o campo CEF requestURL e tipo url. Esses artefatos alimentam as verificações de reputação de URL no playbook.

6. Acionar o playbook: POST para /rest/playbook_run com o ID ou nome do playbook e o ID do contêiner. Isso inicia o fluxo de trabalho de investigação automatizado.

7. Consultar resultados das ações: GET /rest/action_run filtrado por ID do contêiner para monitorar o progresso do playbook. Consulte até que todas as ações atinjam um estado terminal (sucesso, falha ou cancelado).

8. Compilar relatório de resposta: Agregue os resultados das ações do playbook em um relatório resumido com veredictos de reputação de URL, reputação de domínio, geolocalização de IP e análise de cabeçalho de e-mail.

Saída Esperada

{
  "incident": {
    "container_id": 1542,
    "status": "new",
    "severity": "high",
    "artifacts_created": 5
  },
  "playbook": {
    "name": "phishing_investigate",
    "run_id": 892,
    "status": "success",
    "actions_completed": 8
  },
  "verdict": "malicious",
  "indicators": {
    "sender_domain_reputation": "malicious",
    "urls_flagged": 2,
    "spf_result": "fail",
    "dkim_result": "fail"
  }
}