detecting-privilege-escalation-attempts

権限昇格の試みを検知する

使用する場面

• 環境内で権限昇格の試みを示す兆候を積極的に探索する場合
• 脅威インテリジェンスによって、これらの手法を用いた攻撃キャンペーンが進行中であることが示された後
• これらの手法に関連する侵害の範囲を特定するインシデント対応時
• 関連する兆候を検知して EDR または SIEM のアラートが発生した場合
• 定期的なセキュリティ評価やパープルチーム演習時

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれている SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC 相関分析用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または反証するために必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM および EDR プラットフォームに対して検知クエリを実行し、関連するイベントを収集します。
4. 結果を分析する：クエリ結果を調べ、複数のデータソースを相関させながら異常を確認します。
5. 検出結果を検証する：状況を踏まえた分析により、真陽性と偽陽性を区別します。
6. アクティビティを相関させる：検出結果をより広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 文書化して報告する：検出結果を記録し、検知ルールを更新して、対応措置を推奨します。

主な概念

概念	説明
T1134	アクセストークンの操作
T1548.002	UAC のバイパス
T1068	権限昇格を目的とした悪用
T1574.009	引用符で囲まれていないサービスパス

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL を使用した高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォーム対応の検知ルール形式

一般的なシナリオ

1. シナリオ 1：SYSTEM トークンの偽装に使用される Potato エクスプロイト
2. シナリオ 2：Fodhelper.exe による UAC バイパス手法
3. シナリオ 3：サービスから SYSTEM への権限昇格に使用される PrintSpoofer
4. シナリオ 4：ローカル権限昇格を目的とした CVE カーネルエクスプロイト

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1134
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]