mcpField
A
analyzing-malicious-url-with-urlscan

analyzing-malicious-url-with-urlscan

github.com/mukul975セキュリティ35.2k413 回インストール8 週間前に更新
リポジトリ

analyzing-malicious-url-with-urlscan について

URLScan.io で不審な URL を調査するセキュリティ分析スキルです。隔離環境でのページ確認、リダイレクトや通信の調査、IOC 抽出を扱い、フィッシングや悪意あるページの調査に役立ちます。

主な機能

  1. 01ウェブまたは API から URL を送信
  2. 02スクリーンショットと DOM の確認
  3. 03リダイレクトと通信の追跡
  4. 04証明書と利用技術の確認
  5. 05ドメイン・IP・ハッシュの抽出

活用シーン

  1. 01フィッシングの疑いがあるリンクの調査
  2. 02認証情報を盗むページの特定
  3. 03リダイレクト経路と IOC の記録
  4. 04URL の調査結果と脅威インテリジェンスの照合

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-malicious-url-with-urlscan

インストール後、Claude Code で/analyzing-malicious-url-with-urlscanを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

URLScanを使用した悪意のあるURLの分析

概要

URLScan.ioは、疑わしいURLをスキャンして分析するための無料サービスです。Webページのスクリーンショット、DOMコンテンツ、HTTP通信、JavaScriptの動作、ネットワーク接続を分離環境で取得します。このスキルでは、アナリストのシステムを危険にさらすことなく、URLScanのWebインターフェースとAPIを使用して、フィッシングURL、認証情報を窃取するページ、悪意のあるリダイレクトを調査する方法を説明します。

使用する場面

  • URLScanを使って悪意のあるURLを分析する必要があるセキュリティインシデントの調査
  • このドメインに関する検知ルールや脅威ハンティング用クエリの作成
  • SOCアナリストがこの種の分析に関する体系的な手順を必要としている場合
  • 関連する攻撃手法について、セキュリティ監視の網羅性を検証する場合

前提条件

  • URLScan.ioアカウント（無料プランを利用可能。自動化にはAPIキーが必要）
  • requestsライブラリを備えたPython 3.8+
  • HTTPプロトコルとWeb技術に関する知識
  • フィッシングURLのパターンに関する知識

主な概念

URLScanの機能
  1. 安全なブラウジング：分離されたChromiumインスタンスでURLをレンダリングします
  2. スクリーンショットの取得：レンダリングされたページの視覚的なスナップショットを取得します
  3. DOM分析：JavaScript実行後のHTMLコンテンツ全体を取得します
  4. ネットワークログ：ページが行ったすべてのHTTPリクエストを記録します（HAR形式）
  5. 証明書の分析：SSL/TLS証明書の詳細を確認します
  6. 技術の検出：Webフレームワークとライブラリを特定します
  7. IP/ASNマッピング：インフラストラクチャに関する情報を提供します
  8. 判定：コミュニティおよび自動による分類を行います
フィッシングURLの危険信号
  • 登録されたばかりのドメイン（30日未満）
  • 無料ホスティングサービス（Wix、GitHub Pages、Firebase）
  • 最終的な遷移先を隠すURL短縮サービス
  • サブドメイン階層が過剰（login.microsoft.com.evil.com）
  • ドメインではなく、サブドメインやパスにブランド名が含まれている
  • 標準外のポート
  • Data URIまたはBase64でエンコードされたコンテンツ
  • HTMLが最小限で、JavaScriptを多用するページ

ワークフロー

ステップ1：URLをURLScanに送信する
Web: Navigate to https://urlscan.io and submit the suspicious URL
API: POST https://urlscan.io/api/v1/scan/
     Header: API-Key: your-api-key
     Body: {"url": "https://suspicious-url.com", "visibility": "private"}
ステップ2：結果を分析する
  • スクリーンショットを確認し、ブランドのなりすましがないか調べます
  • リダイレクトと最終遷移先のURLを確認します
  • DOMを調べ、認証情報の入力フォームがないか確認します
  • ネットワークリクエストを確認し、データの持ち出し先エンドポイントがないか調べます
  • SSL証明書の有効性と発行者を確認します
ステップ3：IOCを抽出する
  • 接続先のドメインとIPアドレス
  • リダイレクトチェーン内のURL
  • ページリソースのSHA-256ハッシュ
  • JavaScriptファイルのハッシュ
ステップ4：脅威インテリジェンスと相互照合する

scripts/process.pyを使用してURLスキャンを自動化し、IOCを抽出して、VirusTotal、PhishTank、Google Safe Browsingと相互照合します。

ツールとリソース

検証

  • API経由で疑わしいURLを正常にスキャンする
  • スクリーンショットを取得し、ブランドのなりすましを特定する
  • リダイレクトチェーン全体を記録する
  • スキャン結果からIOCリストを作成する
  • 少なくとも2つの脅威インテリジェンスソースと調査結果を相互照合する

コメント

Markdown 対応