分析 TLS 憑證透明度日誌 是做什麼的？
使用時機
- 調查需要分析 TLS 憑證透明度日誌的安全事件時
- 建立此領域的檢測規則或威脅狩獵查詢時
- SOC 分析師需要此分析類型的結構化程序時
- 驗證相關攻擊技巧的安全監控覆蓋率時
先決條件
- 熟悉安全營運概念與工具
- 能夠存取測試或實驗環境以安全執行
- Python 3.8+ 與必要依賴套件已安裝
- 針對任何測試活動取得適當授權
操作說明
查詢 crt.sh 憑證透明度資料庫，找出為與您組織品牌相似網域所發行的憑證，以偵測釣魚基礎設施。
from pycrtsh import Crtsh
c = Crtsh()
# 搜尋符合某個網域的憑證
certs = c.search("example.com")
for cert in certs:
print(cert["id"], cert["name_value"])
# 取得完整的憑證詳細資訊
details = c.get(certs[0]["id"], type="id")
關鍵分析步驟：
- 查詢 crt.sh 找出所有符合您網域模式的憑證
- 識別含有錯字域名變體（編輯距離）的憑證
- 標記來自非預期 CA 的憑證
- 監控可疑子網域上的萬用字元憑證
- 與已知的釣魚基礎設施交叉比對
範例
from pycrtsh import Crtsh
c = Crtsh()
certs = c.search("%.example.com")
for cert in certs:
print(f"發行者: {cert.get('issuer_name')}, 網域: {cert.get('name_value')}")