hunting-for-data-staging-before-exfiltration

持ち出し前のデータ集約のハンティング

概要

データを持ち出す前に、攻撃者は通常、収集したファイルを一か所に集約します（MITRE ATT&CK T1074）。この作業では、7-Zip、RAR、tar などのツールでアーカイブを作成し、複数のディレクトリにあるファイルを集約して、一時ディレクトリや隠しディレクトリを集約場所として使用します。このスキルでは、プロセス作成ログを分析してアーカイバーの動作を検出し、一般的な集約パスのファイルシステムイベントを監視し、異常なファイル集約パターンを特定することで、データ集約の動作を検出します。

使用する場面

• 持ち出し前のデータ集約をハンティングする必要があるセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの種の分析に必要な手順を整理する場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• プロセス作成イベントとファイルシステムイベントを含む EDR または Sysmon のテレメトリ
• Windows イベントログ（イベント ID 4688）または Sysmon イベント ID 1、11
• 標準ライブラリを含む Python 3.8+
• JSON/CSV 形式のプロセス作成ログへのアクセス

手順

1. アーカイブツールの実行を検出する — 圧縮引数を伴う 7z.exe、rar.exe、tar、zip、WinRAR のプロセス作成を監視します
2. 集約ディレクトリを特定する — 一般的な集約場所（ごみ箱、%TEMP%、ProgramData、隠しディレクトリ）へのファイル書き込みを検知します
3. 大量のファイル集約を検出する — 複数のファイルの読み取り後、単一のディレクトリへの書き込みが続くパターンを特定します
4. 機密パスへのアクセスを監視する — ドキュメントディレクトリ、データベースのパス、ネットワーク共有からの一括読み取りを追跡します
5. アーカイブのメタデータを分析する — アーカイブファイルのサイズ、作成時刻、元のパスを抽出して分析します
6. 集約リスクをスコアリングする — アーカイブサイズ、ソースの多様性、集約パスの疑わしさ、タイミングに基づいてヒューリスティックなスコアリングを適用します
7. ハンティングレポートを生成する — 集約イベントのタイムラインと MITRE ATT&CK のマッピングを含む構造化レポートを作成します

期待される出力

• 検出された集約イベントとリスクスコアを含む JSON レポート
• ソースファイルの分析を含むアーカイブ作成タイムライン
• MITRE ATT&CK のマッピング（T1074.001、T1074.002、T1560）
• 疑わしい書き込みアクティビティを示す集約ディレクトリのヒートマップ