detecting-malicious-scheduled-tasks-with-sysmon

Sysmon による悪意のあるスケジュールタスクの検出

概要

攻撃者は、永続化（T1053.005）および横方向移動のために Windows タスクスケジューラ（schtasks.exe、at.exe）を悪用します。Sysmon のイベント ID 1 は、完全なコマンドライン引数を含む schtasks.exe のプロセス作成を記録し、イベント ID 11 は C:\Windows\System32\Tasks\ に書き込まれるタスク XML ファイルを記録します。Windows セキュリティイベント 4698 は、タスク登録の詳細をログに記録します。 このスキルでは、これらのイベントを相関させる検出ルールを構築し、不審なパスから作成された、エンコードされたペイロードを含む、またはリモートシステムを対象とする悪意のあるスケジュールタスクを特定する方法を扱います。

使用するタイミング

• Sysmon を使用して悪意のあるスケジュールタスクを検出する必要があるセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティングクエリを構築する場合
• SOC アナリストがこの種の分析に対する構造化された手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• 検出を重視した構成で Sysmon がインストールされていること（例：SwiftOnSecurity や Olaf Hartong）
• Windows イベントログが SIEM（Splunk、Elastic、Sentinel）に転送されていること
• PowerShell ScriptBlock ロギングが有効になっていること（イベント 4104）

手順

1. タスク関連のフィルターを使用して、イベント ID 1、11、12、13 を記録するように Sysmon を構成する
2. 不審な引数を含む schtasks.exe /create を検出するルールを構築する
3. イベント 4698（タスク登録）と Sysmon イベント 1（プロセス作成）を相関させる
4. 公開ディレクトリから実行されているタスク、またはエンコードされたコマンドを含むタスクをハンティングする
5. 横方向移動の検出のために、リモートでのタスク作成（schtasks /s）についてアラートを出す

期待される出力

[CRITICAL] Suspicious Scheduled Task Detected
  Task: \Microsoft\Windows\UpdateCheck
  Command: powershell.exe -enc SQBuAHYAbwBrAGUALQBXAGUAYgBSAGU...
  Created By: DOMAIN\compromised_user
  Parent Process: cmd.exe (PID 4532)
  Source: \\192.168.1.50 (remote creation)
  MITRE: T1053.005 - Scheduled Task/Job