detecting-rdp-brute-force-attacks

RDP ブルートフォース攻撃の検出

概要

RDP ブルートフォース攻撃は、公開されている RDP エンドポイントに対して資格情報の推測を短時間に繰り返し、Windows リモートデスクトッププロトコルサービスを標的にします。検出には、Windows セキュリティイベントログからイベント ID 4625（ログオンタイプ 10 または 3 のログオン失敗）を分析し、イベント ID 4624（ログオン成功）と関連付けて侵害されたアカウントを特定します。このスキルでは、python-evtx による EVTX ファイルの解析、送信元 IP の頻度分析による攻撃パターンの特定、NLA バイパスの試行の検出、実行可能な検出レポートの生成について説明します。

使用する場面

• RDP ブルートフォース攻撃の検出が必要なセキュリティインシデントを調査する場合
• この領域の検出ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視の適用範囲を検証する場合

前提条件

• python-evtx、lxml ライブラリを含む Python 3.9+
• Windows セキュリティ EVTX ログファイル（イベントビューアーからエクスポートするか、WEF 経由で収集）
• Windows 認証イベント ID（4624、4625、4776）に関する知識
• RDP ログオンタイプに関する知識（NLA はタイプ 3、RemoteInteractive はタイプ 10）

手順

手順 1：セキュリティイベントログをエクスポートする

イベントビューアーまたは wevtutil を使用して、Windows セキュリティログを EVTX 形式でエクスポートします。

wevtutil epl Security C:\logs\security.evtx

手順 2：ログオン失敗イベントを解析する

python-evtx を使用してイベント ID 4625 のエントリを解析し、送信元 IP、対象ユーザー名、失敗理由（Sub Status）、ログオンタイプの各フィールドを抽出します。

手順 3：攻撃パターンを分析する

次の方法でブルートフォース攻撃のパターンを特定します。

• 一定の時間内に送信元 IP ごとのログオン失敗数を集計する
• ユーザー名スプレー攻撃（1 つの IP から多数のユーザー名を試す攻撃）を検出する
• 4625 のログオン失敗と、同じ IP からその後に発生した 4624 のログオン成功を関連付ける

手順 4：検出レポートを生成する

攻撃元 IP の上位、対象アカウント、時間ベースの分析、侵害の兆候を含む JSON レポートを生成します。

期待される出力

以下を含む JSON レポート：

• ログオン失敗イベントの合計数と一意な送信元 IP 数
• 失敗数の多い順に並べた攻撃元 IP の上位
• 対象となったユーザー名と失敗のサブステータスコード
• ブルートフォース攻撃の試行後に成功したログオン（侵害の可能性）
• 攻撃の強度に関する時系列分析