hunting-for-domain-fronting-c2-traffic

ドメインフロンティングによるC2トラフィックの探索

概要

ドメインフロンティング（MITRE ATT&CK T1090.004）は、攻撃者がTLSのSNIフィールドとHTTPのHostヘッダーで異なるドメイン名を使用し、正規のCDNでホストされているドメインの背後にC2トラフィックを隠す手法です。このスキルは、プロキシまたはWebゲートウェイのログを解析してSNIとHostヘッダーの不一致を検出し、TLS証明書を分析してCDNプロバイダーを特定し、SNIが評価の高いドメインを指している一方でHostヘッダーが攻撃者が管理するドメインを対象としている接続をフラグ付けし、既知のCDNプロバイダーのIP範囲と突き合わせることで、ドメインフロンティングを検出します。

使用するタイミング

• ドメインフロンティングによるC2トラフィックの探索が必要なセキュリティインシデントを調査するとき
• このドメインに関する検出ルールや脅威ハンティングのクエリを作成するとき
• SOCアナリストがこの種の分析に対する体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• SNIおよびHostヘッダーのフィールドを含むWebプロキシまたはセキュアWebゲートウェイのログ
• pyOpenSSLおよびcryptographyライブラリを使用したPython 3.8以降
• Hostヘッダーを可視化するため、プロキシでTLSインスペクションが有効になっていること
• CDNプロバイダーのIP範囲リスト（CloudFront、Azure CDN、Cloudflare）

手順

1. SNIとHostヘッダーの両方のフィールドを含む接続をプロキシログから解析する
2. SNIのドメインとHTTPのHostヘッダーを比較して不一致を確認する
3. pyOpenSSLを使用して、TLS証明書のSubjectおよびSANフィールドを抽出する
4. 証明書の発行者およびIP範囲によって、CDNでホストされている接続を特定する
5. CDNのIP上でSNIとHostが異なるドメインフロンティングを、確度の高いものとしてフラグ付けする
6. ドメインの評判の差に基づいてアラートをスコア付けする
7. ネットワークフローのコンテキストを含む検出レポートを生成する

期待される出力

検出されたドメインフロンティングの指標を含むJSONレポートです。SNIとHostのペア、証明書の詳細、CDNプロバイダーの特定、確度スコア、およびMITRE ATT&CKの手法へのマッピングが含まれます。