detecting-email-forwarding-rules-attack

メール転送ルール攻撃の検知

使用するタイミング

• 環境内でメール転送ルール攻撃の兆候をプロアクティブに探す場合
• 脅威インテリジェンスから、これらの手法を使ったキャンペーンが進行中であることが示された後
• これらの手法に関連する侵害の範囲を特定するインシデント対応時
• 関連する兆候に対して EDR または SIEM のアラートが発生した場合
• 定期的なセキュリティ評価やパープルチーム演習時

前提条件

• プロセスとネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効であること
• IOC 照合用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または反証するために必要なログとテレメトリを判断します。
3. クエリを実行する：SIEM と EDR のプラットフォームに対して検知クエリを実行し、関連イベントを収集します。
4. 結果を分析する：複数のデータソースを相互に関連付けながら、クエリ結果の異常を調べます。
5. 調査結果を検証する：状況を踏まえた分析により、真陽性と偽陽性を区別します。
6. アクティビティを関連付ける：調査結果を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 記録して報告する：調査結果を記録し、検知ルールを更新して、対応策を推奨します。

主な概念

概念	説明
T1114.003	メール転送ルール
T1114.002	リモートメール収集
T1098.002	追加のメール委任アクセス許可

ツールとシステム

ツール	目的
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントアーティファクトの収集とハンティング
Sigma Rules	クロスプラットフォームの検知ルール形式

一般的なシナリオ

1. シナリオ 1：BEC アクターが外部メールアドレスへの転送ルールを作成する
2. シナリオ 2：侵害されたアカウントのルールがセキュリティアラートを削除する
3. シナリオ 3：受信トレイルールが CEO のメールを攻撃者のメールボックスに転送する
4. シナリオ 4：OAuth アプリの悪用により、データ収集用のトランスポートルールが作成される

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1114.003
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]