detecting-kerberoasting-attacks

Kerberoasting 攻撃の検知

使用するタイミング

• 環境内でKerberoasting 攻撃の兆候をプロアクティブに探索するとき
• 脅威インテリジェンスにより、これらの手法を用いたキャンペーンが進行中であることが示された後
• インシデント対応中に、これらの手法に関連する侵害の範囲を特定するとき
• 関連する兆候を検知して EDR または SIEM のアラートが発生したとき
• 定期的なセキュリティ評価やパープルチーム演習中

前提条件

• プロセスとネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
• 包括的な設定で展開された Sysmon
• Windows セキュリティイベントログの転送が有効であること
• IOC 相関用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または反証するために必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM および EDR プラットフォームで検知クエリを実行し、関連イベントを収集します。
4. 結果を分析する：複数のデータソース間で相関させながら、クエリ結果に異常がないか調べます。
5. 検出結果を検証する：コンテキスト分析を通じて、真陽性と偽陽性を区別します。
6. アクティビティを相関させる：検出結果を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 記録して報告する：検出結果を記録し、検知ルールを更新して、対応策を推奨します。

主要な概念

概念	説明
T1558.003	Kerberoasting
T1558.004	AS-REP Roasting
T1558.001	Golden Ticket

ツールとシステム

ツール	目的
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントアーティファクトの収集とハンティング
Sigma Rules	クロスプラットフォームの検知ルール形式

よくあるシナリオ

1. シナリオ 1：Rubeus がすべての SPN アカウントを標的に Kerberoast を実行する
2. シナリオ 2：Impacket の GetUserSPNs.py が RC4 チケットを要求する
3. シナリオ 3：高い権限を持つサービスアカウントを狙った標的型 Kerberoast
4. シナリオ 4：事前認証が不要なアカウントに対する AS-REP Roasting

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1558.003
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]