detecting-insider-threat-behaviors

内部脅威の振る舞いを検知する

使用するタイミング

• 環境内で内部脅威の振る舞いを示す兆候を積極的に探索するとき
• 脅威インテリジェンスにより、これらの手法を使用するキャンペーンが進行中だと判明した後
• これらの手法に関連する侵害の範囲を特定するインシデント対応時
• 関連する兆候に対して EDR または SIEM のアラートが発生したとき
• 定期的なセキュリティ評価やパープルチーム演習の際

前提条件

• プロセスとネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC 相関分析用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または反証するために必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM と EDR プラットフォームに対して検知クエリを実行し、関連イベントを収集します。
4. 結果を分析する：クエリ結果を調査し、複数のデータソースを相関させて異常を確認します。
5. 発見事項を検証する：コンテキスト分析を通じて、真陽性と偽陽性を区別します。
6. アクティビティを相関させる：発見事項を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 記録して報告する：発見事項を記録し、検知ルールを更新して、対応措置を推奨します。

主要な概念

概念	説明
T1078	有効なアカウント
T1530	クラウドストレージオブジェクトからのデータ
T1567	Web サービス経由のデータ流出

ツールとシステム

ツール	目的
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントアーティファクトの収集とハンティング
Sigma Rules	クロスプラットフォームの検知ルール形式

よくあるシナリオ

1. シナリオ 1：従業員が退職前に大量のファイルをダウンロードする
2. シナリオ 2：IT 管理者が職務範囲外で人事データにアクセスする
3. シナリオ 3：サービスアカウントが許可されていないデータクエリに使用される
4. シナリオ 4：契約社員がソースコードを個人用クラウドストレージにコピーする

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1078
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]