detecting-suspicious-powershell-execution

不審な PowerShell の実行を検出する

使用する場面

• 環境内で不審な PowerShell の実行を検出する兆候をプロアクティブに調査する場合
• 脅威インテリジェンスにより、これらの手法を用いるキャンペーンが進行中だと判明した後
• これらの手法に関連する侵害の範囲を特定するインシデント対応中
• 関連する兆候を検知して EDR または SIEM アラートが発生した場合
• 定期的なセキュリティ評価やパープルチーム演習中

前提条件

• プロセスとネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な設定で展開された Sysmon
• Windows Security Event Log の転送が有効になっていること
• IOC 相関用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースを特定する：仮説の検証または反証に必要なログとテレメトリを判断します。
3. クエリを実行する：SIEM と EDR プラットフォームに対して検出クエリを実行し、関連するイベントを収集します。
4. 結果を分析する：複数のデータソースを相関させながら、クエリ結果に異常がないか調べます。
5. 調査結果を検証する：コンテキストを分析し、真陽性と偽陽性を区別します。
6. アクティビティを相関させる：調査結果を、より広範な攻撃チェーンや脅威アクターの TTP に結び付けます。
7. 記録して報告する：調査結果を記録し、検出ルールを更新して、対応措置を推奨します。

主要な概念

概念	説明
T1059.001	PowerShell
T1059.003	Windows Command Shell
T1562.001	ツールの無効化または変更

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検出
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検出ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントアーティファクトの収集とハンティング
Sigma Rules	クロスプラットフォームの検出ルール形式

よくあるシナリオ

1. シナリオ 1：マクロ付きドキュメントによって起動される Base64 エンコード済みの PowerShell コマンド
2. シナリオ 2：C2 サーバーからペイロードを取得する IEX ダウンロードクレードル
3. シナリオ 3：ペイロード実行前にリフレクションパッチを適用して AMSI を回避
4. シナリオ 4：C2 と通信する PowerShell Empire エージェント

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1059.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]