mcpField
H
hunting-for-data-exfiltration-indicators

hunting-for-data-exfiltration-indicators

github.com/mukul975セキュリティ35.2k66 回インストール8 週間前に更新
リポジトリ

hunting-for-data-exfiltration-indicators について

データ窃取の可能性と影響範囲を調査する、セキュリティ運用およびインシデント対応担当者向けのハンティングガイドです。通信のベースライン作成、異常転送、宛先分析、プロトコル悪用、ファイルアクセスとの相関を扱います。

主な機能

  1. 01想定されるデータ持ち出し経路を定義
  2. 02通常のアウトバウンド通信の基準を作成
  3. 03転送量の異常を検出
  4. 04宛先とプロトコル悪用を分析
  5. 05ファイルアクセスを相関し対応を記録

活用シーン

  1. 01異常なアウトバウンドデータ量の調査
  2. 02DNSトンネリングやクラウドストレージ経由の持ち出しの探索
  3. 03インシデントで窃取されたデータの評価

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-data-exfiltration-indicators

インストール後、Claude Code で/hunting-for-data-exfiltration-indicatorsを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

データ持ち出しの兆候を追跡する

使用するタイミング

  • 侵害された環境でデータ窃取を追跡するとき
  • 通常とは異なる外向きのデータ量やパターンを検知した後
  • 内部関係者によるデータ窃取の可能性を調査するとき
  • インシデント対応で、どのデータが盗まれたかを特定するとき
  • 脅威インテリジェンスから、自組織の業界を標的とするデータ持ち出しキャンペーンの情報が得られたとき

前提条件

  • バイト単位のデータ転送指標を含むネットワークプロキシ／ファイアウォールのログ
  • クラウドへのアップロードを可視化できるDLPソリューションまたはCASB
  • DNSによる持ち出しを検知するためのDNSクエリログ
  • 添付ファイルを監視するためのメールゲートウェイログ
  • データ量の異常検知機能を備えたSIEM

ワークフロー

  1. 持ち出し経路を定義する：HTTP/Sアップロード、DNSトンネリング、メール添付ファイル、クラウドストレージ、リムーバブルメディア、暗号化プロトコルなどの潜在的な経路を特定します。
  2. 通常のデータフローのベースラインを作成する：30日間の期間について、ユーザー、ホスト、宛先ごとの外向きデータ転送量のベースラインを確立します。
  3. 量の異常を検知する：外部の宛先に対し、ベースラインを大幅に上回る量のデータを転送しているホストやユーザーを特定します。
  4. 転送先を分析する：宛先のドメイン／IPを脅威インテリジェンスと照合し、新規登録ドメイン、個人用クラウドストレージ、海外のインフラを特定します。
  5. プロトコルの悪用を調査する：DNSトンネリング（サイズの大きい、または頻繁なTXTクエリ）、ICMPトンネリング、許可されたプロトコルに隠されたデータを探します。
  6. ファイルアクセスと関連付ける：持ち出しの兆候を、機密性の高いファイル共有、データベース、リポジトリでのファイルアクセスイベントと結び付けます。
  7. 報告して封じ込める：証拠とともに調査結果を記録し、データの露出範囲を推定して、封じ込め措置を推奨します。

主要な概念

概念説明
T1041C2チャネル経由の持ち出し
T1048代替プロトコル経由の持ち出し
T1048.001C2以外での対称暗号化による持ち出し
T1048.002C2以外での非対称暗号化による持ち出し
T1048.003C2以外での非暗号化／難読化による持ち出し
T1567Webサービス経由の持ち出し
T1567.002クラウドストレージへの持ち出し
T1052物理メディア経由の持ち出し
T1029定期的な転送
T1030データ転送サイズの制限（ステージング）
T1537データのクラウドアカウントへの転送
T1020自動化された持ち出し

ツールとシステム

ツール目的
Splunkデータ量の分析とSPLクエリに使用するSIEM
Zeekデータフロー分析のためのネットワークメタデータ
Microsoft Defender for Cloud Appsクラウドへの持ち出しに対応するCASB
NetskopeクラウドDLPと持ち出し検知
Suricataプロトコルの異常検知に使用するネットワークIDS
RITADNSによる持ち出しとビーコンの検知
ExtraHopデータフロー分析のためのネットワークトラフィック分析

よくあるシナリオ

  1. クラウドストレージへの持ち出し：ユーザーがブラウザーを使って、機密文書を個人用のGoogle DriveまたはDropboxにアップロードします。
  2. DNSトンネリング：マルウェアが、攻撃者の管理下にあるネームサーバーへのDNSサブドメインクエリにデータをエンコードして持ち出します。
  3. HTTPSアップロード：侵害されたシステムが、暗号化されたHTTPS経由でC2サーバーに大容量のデータブロブをPOSTします。
  4. メール添付ファイルによる持ち出し：内部関係者が機密文書を個人のメールアカウントに転送します。
  5. ステージングと圧縮：攻撃者が、検知を避けるため、低速で持ち出す前にデータを圧縮アーカイブにステージングします。

出力形式

Hunt ID: TH-EXFIL-[DATE]-[SEQ]
Exfiltration Channel: [HTTP/DNS/Email/Cloud/USB]
Source: [Host/User]
Destination: [Domain/IP/Service]
Data Volume: [Bytes/MB/GB]
Time Period: [Start - End]
Protocol: [HTTPS/DNS/SMTP/SMB]
Files Involved: [Count/Types]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]

コメント

Markdown 対応