detecting-mimikatz-execution-patterns

Mimikatz実行パターンの検出

使用するタイミング

• 環境内で Mimikatz 実行パターンに関する侵害の兆候をプロアクティブに探索するとき
• 脅威インテリジェンスによって、これらの手法を使用したアクティブなキャンペーンが示されたとき
• インシデント対応中に、これらの手法に関連する侵害の範囲を特定するとき
• EDR または SIEM のアラートが関連する兆候でトリガーされたとき
• 定期的なセキュリティ評価やパープルチーム演習の期間中

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC 相関のための脅威インテリジェンスフィード

ワークフロー

1. 仮説の策定: 脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースの特定: 仮説を検証または反証するために必要なログとテレメトリを決定します。
3. クエリの実行: SIEM および EDR プラットフォームに対して検知クエリを実行し、関連するイベントを収集します。
4. 結果の分析: 複数のデータソースを相関させながら、クエリ結果に含まれる異常を調べます。
5. 検出結果の検証: 状況分析を通じて、真陽性と偽陽性を区別します。
6. 活動の相関付け: 検出結果を、より広範な攻撃チェーンや脅威アクターの TTP に結び付けます。
7. 文書化と報告: 検出結果を記録し、検知ルールを更新して、推奨される対応策を提案します。

主要な概念

概念	説明
T1003.001	LSASS メモリ
T1003.006	DCSync
T1558.003	Kerberoasting
T1558.001	Golden Ticket

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL によるアドバンストハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	プラットフォーム横断の検知ルール形式

一般的なシナリオ

1. シナリオ 1: 標準的な sekurlsa::logonpasswords による資格情報のダンプ
2. シナリオ 2: PowerShell の Invoke-Mimikatz によるリフレクティブロード
3. シナリオ 3: DC 以外のホストからの DCSync
4. シナリオ 4: 永続化のための Golden Ticket の作成

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1003.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]