detecting-credential-dumping-techniques

認証情報ダンプ手法の検出

概要

認証情報ダンプ（MITRE ATT&CK T1003）は、攻撃者が OS メモリ、レジストリハイブ、またはドメインコントローラーのデータベースから認証情報を抽出する侵害後の手法です。このスキルでは、Sysmon Event ID 10（ProcessAccess）による LSASS メモリアクセス、reg.exe による SAM レジストリハイブのエクスポート、ntdsutil/vssadmin による NTDS.dit の抽出、comsvcs.dll MiniDump の悪用の検出について説明します。検出ルールでは、GrantedAccess のビットマスク、不審な呼び出し元プロセス、既知のツールシグネチャを分析します。

使用する場面

• 認証情報ダンプ手法の検出が必要なセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティング用クエリを作成する場合
• SOC アナリストが、この種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• lsass.exe を対象とする ProcessAccess のログ記録（Event ID 10）を有効にした Sysmon v14+ が導入されていること
• コマンドラインのログ記録を含むプロセス作成（Event ID 4688）を有効にした Windows セキュリティ監査ポリシー
• Sysmon と Windows セキュリティのログを取り込む Splunk または Elastic SIEM
• ログ分析用の Python 3.8+

手順

1. lsass.exe を対象とする ProcessAccess イベントをログに記録するよう Sysmon を設定します
2. Sysmon Event ID 10 と Windows Event ID 4688 を SIEM に転送します
3. 既知の GrantedAccess パターン（0x1010、0x1FFFFF）に対する検出ルールを作成します
4. comsvcs.dll MiniDump と、LSASS PID を対象とする procdump.exe を検出します
5. SAM/SECURITY/SYSTEM ハイブをエクスポートする reg.exe コマンドに対してアラートを発します
6. NTDS.dit の窃取を目的とした ntdsutil/vssadmin によるシャドウコピーの作成を検出します
7. 検出結果をユーザーおよびホストのコンテキストと関連付けてリスクを評価します

期待される出力

検出された認証情報ダンプの兆候を含む JSON レポート。手法の分類、重大度評価、プロセスの詳細、MITRE ATT&CK との対応付け、Splunk/Elastic の検出クエリが含まれます。