analyzing-tls-certificate-transparency-logs

TLS 証明書透明性ログの分析

使用する場面

• TLS 証明書透明性ログの分析が必要なセキュリティインシデントを調査するとき
• この分野の検知ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に関する体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視の対応状況を検証するとき

前提条件

• セキュリティ運用の概念とツールに関する知識があること
• 安全に実行できるテスト環境またはラボ環境にアクセスできること
• 必要な依存関係をインストールした Python 3.8 以降
• あらゆるテスト活動に対する適切な許可

手順

crt.sh の証明書透明性データベースにクエリを実行し、組織のブランドに類似したドメインに発行された証明書を検索して、フィッシングインフラを検知します。

from pycrtsh import Crtsh

c = Crtsh()
# Search for certificates matching a domain
certs = c.search("example.com")
for cert in certs:
    print(cert["id"], cert["name_value"])

# Get full certificate details
details = c.get(certs[0]["id"], type="id")

主な分析手順：

1. crt.sh にクエリを実行し、ドメインパターンに一致するすべての証明書を検索します
2. タイポスクワッティングによるバリエーションを特定します（レーベンシュタイン距離）
3. 想定外の CA が発行した証明書にフラグを付けます
4. 不審なサブドメイン上のワイルドカード証明書を監視します
5. 既知のフィッシングインフラと相互照合します

例

from pycrtsh import Crtsh
c = Crtsh()
certs = c.search("%.example.com")
for cert in certs:
    print(f"Issuer: {cert.get('issuer_name')}, Domain: {cert.get('name_value')}")