detecting-service-account-abuse

サービスアカウントの悪用を検知する

使用する場面

• 環境内でサービスアカウントの悪用を示す兆候を積極的に探す場合
• 脅威インテリジェンスで、これらの手法を利用する進行中のキャンペーンが示された後
• これらの手法に関連する侵害の範囲を特定するインシデント対応中
• 関連する兆候を検知して EDR または SIEM のアラートが発生した場合
• 定期的なセキュリティ評価やパープルチーム演習中

前提条件

• プロセスとネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC 相関用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
2. データソースを特定する：仮説の検証または反証に必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM と EDR のプラットフォームに対して検知クエリを実行し、関連イベントを収集します。
4. 結果を分析する：複数のデータソースを相関させながら、クエリ結果に異常がないか調べます。
5. 調査結果を検証する：コンテキスト分析を通じて、真陽性と偽陽性を区別します。
6. 活動を相関させる：調査結果をより大きな攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 記録して報告する：調査結果を記録し、検知ルールを更新して、対応措置を推奨します。

主な概念

概念	説明
T1078.002	ドメインアカウント
T1078.001	デフォルトアカウント
T1021	リモートサービス

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL を使った高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォームの検知ルール形式

一般的なシナリオ

1. シナリオ 1：サービスアカウントがドメインコントローラーに RDP 接続する
2. シナリオ 2：SQL サービスが範囲外のファイル共有にアクセスする
3. シナリオ 3：バックアップサービスが営業時間外にラテラルムーブメントを行う
4. シナリオ 4：DA 権限を持つ侵害された svc が DCSync に使用される

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1078.002
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]