detecting-living-off-the-land-with-lolbas

LOLBAS による Living Off the Land の検知

概要

Living Off the Land Binaries, Scripts, and Libraries（LOLBAS）は、攻撃者が検知を回避しながら悪意のある操作を実行するために悪用する、正規のシステムユーティリティです。このスキルでは、Sysmon と Windows イベントログのプロセステレメトリを用いて、certutil.exe、regsvr32.exe、mshta.exe、rundll32.exe、msbuild.exe などの LOLBin の悪用を、Sigma ルールベースの検知と組み合わせて検出する方法を扱います。

使用するタイミング

• LOLBAS による Living Off the Land の検出が必要なセキュリティインシデントを調査するとき
• この分野の検知ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に必要な構造化された手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• コマンドラインログが有効化された Sysmon または Windows セキュリティイベントログ（イベント ID 4688）
• Sigma ルール変換ツール（sigmac または sigma-cli）
• ログ取り込み用の SIEM プラットフォーム（Splunk、Elastic など）
• pySigma ライブラリを含む Python 3.8 以降
• LOLBAS プロジェクトの参照データベース

手順

1. LOLBin ウォッチリストの作成 — 監視対象バイナリの優先順位付きリストを作成する（certutil、mshta、regsvr32、rundll32、msbuild、installutil、cmstp、wmic、bitsadmin）
2. プロセステレメトリの収集 — コマンドラインを完全に取得した Sysmon イベント ID 1（Process Create）および Windows 4688 イベントを取り込む
3. Sigma 検知ルールの作成 — 各 LOLBin について、疑わしいコマンドライン引数、ネットワーク活動、親子プロセスの異常に一致する Sigma ルールを作成する
4. 親子関係の分析 — LOLBin を起動する想定外の親プロセスにフラグを立てる（例：Excel による certutil の起動、Word による mshta の起動）
5. アラートのスコアリングと優先順位付け — 引数の異常、親プロセス、実行パス、ネットワーク指標に基づくリスクスコアリングを適用する
6. 検知レポートの生成 — MITRE ATT&CK へのマッピングを含め、検出されたすべての LOLBin 悪用の構造化されたレポートを作成する

期待される出力

• 検出された LOLBin 悪用イベントとその重大度スコアを記載した JSON レポート
• 各検知に対する MITRE ATT&CK 手法のマッピング（T1218、T1105、T1140、T1127）
• 親子プロセスの異常分析
• 生のイベントデータを含む Sigma ルールの一致詳細