detecting-lateral-movement-with-splunk

Splunkを使ったラテラルムーブメントの検知

使用するタイミング

• 侵害されたシステム間での攻撃者の移動を追跡するとき
• 認証情報窃取を検知した後、その後のラテラルな活動を追跡するとき
• ネットワーク全体で通常と異なる認証パターンを調査するとき
• インシデント対応中に侵害の範囲を特定するとき
• TA0008（ラテラルムーブメント）の手法を能動的に探索するとき

前提条件

• Windowsイベントデータを取り込んだSplunk EnterpriseまたはSplunk Cloud
• 転送されたWindowsセキュリティイベントログ（4624、4625、4648、4672、4768、4769）
• プロセス作成とネットワーク接続データのために導入されたSysmon
• SMB/RDP/WinRMの相関分析のためのネットワークフローデータまたはファイアウォールログ
• Active Directoryのユーザーおよびグループメンバーシップの参照データ

ワークフロー

1. ラテラルムーブメントの範囲を定義する: 探索するラテラルムーブメントの手法（RDP、SMB/管理共有、WinRM、PsExec、WMI、DCOM、SSH）を特定します。
2. 認証イベントをクエリする: SPLを使用して、環境全体でType 3（Network）およびType 10（RemoteInteractive）のログオンを検索します。
3. 認証グラフを構築する: 送信元から送信先への認証関係をマッピングし、通常と異なる接続パターンを特定します。
4. 初回の関係を検出する: 過去のベースラインで確認されていない新しい送信元と送信先のペアを特定します。
5. プロセスアクティビティと相関させる: 認証イベントを、送信先ホスト上でその後に行われたプロセス作成と関連付けます。
6. 異常なパターンを特定する: 機密性の高いサーバーへのラテラルムーブメント、通常と異なる時間帯、サービスアカウントの不正使用、または複数ホストへの短時間でのアクセスをフラグ付けします。
7. 報告と封じ込め: ラテラルムーブメントの経路、影響を受けたシステムを文書化し、封じ込め対応を調整します。

主要な概念

概念	説明
T1021	リモートサービス（親テクニック）
T1021.001	リモートデスクトッププロトコル（RDP）
T1021.002	SMB/Windows管理共有
T1021.003	分散COM（DCOM）
T1021.004	SSH
T1021.006	Windowsリモート管理（WinRM）
T1570	ラテラルツール転送
T1047	Windows Management Instrumentation
T1569.002	サービス実行（PsExec）
Logon Type 3	ネットワークログオン（SMB、WinRM、マップされたドライブ）
Logon Type 10	リモートインタラクティブ（RDP）
Event ID 4624	ログオン成功
Event ID 4648	明示的な資格情報によるログオン（runas、PsExec）

ツールとシステム

ツール	用途
Splunk Enterprise	ログ集約とSPLクエリのためのSIEM
Splunk Enterprise Security	脅威検知と通知イベント
Windows Event Forwarding	Windowsログの集中管理
Sysmon	詳細なプロセスおよびネットワークのテレメトリ
BloodHound	AD攻撃経路の分析
PingCastle	ADセキュリティ評価

一般的なシナリオ

1. PsExecによるラテラルムーブメント: 攻撃者はPsExecを使用してSMB経由でリモートシステム上のコマンドを実行し、ADMIN$共有へのアクセスを伴うType 3のログオンを発生させます。
2. RDPによるピボット: 攻撃者は窃取した資格情報を使用して内部システムにRDP接続し、Type 10のログオンイベントを発生させます。
3. WMIによるリモート実行: 攻撃者はWMIC process call createを使用して、リモートホスト上でプロセスを起動します。
4. WinRM PowerShellリモーティング: 攻撃者はEnter-PSSessionまたはInvoke-Commandを使用して、リモートシステム上でコードを実行します。
5. SMB経由のPass-the-Hash: 侵害されたNTLMハッシュを使用して、平文のパスワードを知らなくてもリモートシステムに認証します。

出力形式

Hunt ID: TH-LATMOV-[DATE]-[SEQ]
Movement Type: [RDP/SMB/WinRM/WMI/DCOM/PsExec]
Source Host: [Hostname/IP]
Destination Host: [Hostname/IP]
Account Used: [Username]
Logon Type: [3/10/other]
First Seen: [Timestamp]
Event Count: [Number of events]
Risk Level: [Critical/High/Medium/Low]
Lateral Movement Path: [A -> B -> C -> D]