mcpField
H
hunting-for-living-off-the-cloud-techniques

hunting-for-living-off-the-cloud-techniques

github.com/mukul975セキュリティ35.2k54 回インストール8 週間前に更新
リポジトリ

hunting-for-living-off-the-cloud-techniques について

クラウドサービス悪用の調査に取り組む脅威ハンティングおよびインシデント対応担当者向けガイドです。仮説に基づき、EDR、SIEM、ホストテレメトリーを相関分析します。

主な機能

  1. 01検証可能なハンティング仮説の策定
  2. 02ログとテレメトリーの特定
  3. 03SIEM と EDR でのクエリ実行
  4. 04イベントの相関分析と検知結果の検証
  5. 05結果の記録と検知ルールの更新

活用シーン

  1. 01Discord webhook や Telegram API を使う活動の調査
  2. 02クラウドサービス経由のデータ流出の追跡
  3. 03関連する EDR または SIEM アラートへの対応
  4. 04定期的な評価やパープルチーム演習の実施

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-living-off-the-cloud-techniques

インストール後、Claude Code で/hunting-for-living-off-the-cloud-techniquesを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

Living Off The Cloud 技法のハンティング

使用するタイミング

  • 環境内で Living Off The Cloud 技法のハンティングに関する痕跡を能動的に探す場合
  • 脅威インテリジェンスによって、これらの技法を用いた攻撃キャンペーンが活発であると示された後
  • インシデント対応中に、これらの技法に関連する侵害範囲を特定する場合
  • 関連する痕跡に対して EDR や SIEM のアラートが発生した場合
  • 定期的なセキュリティ評価やパープルチーム演習の期間中

前提条件

  • プロセスおよびネットワークのテレメトリを取得できる EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
  • 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
  • 包括的な構成で展開された Sysmon
  • Windows セキュリティイベントログの転送が有効になっていること
  • IOC の相関分析に使用する脅威インテリジェンスフィード

ワークフロー

  1. 仮説の策定: 脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
  2. データソースの特定: 仮説の検証または反証に必要なログとテレメトリを決定します。
  3. クエリの実行: SIEM および EDR プラットフォーム上で検知クエリを実行し、関連するイベントを収集します。
  4. 結果の分析: 複数のデータソースを横断して相関分析を行い、クエリ結果の異常を調査します。
  5. 調査結果の検証: 文脈分析を通じて、真陽性と偽陽性を区別します。
  6. 活動の相関付け: 調査結果を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
  7. 文書化と報告: 調査結果を記録し、検知ルールを更新して、推奨される対応策を提示します。

主要な概念

概念説明
T1102Web サービス
T1567Web サービスを介した窃取
T1537クラウドアカウントへのデータ転送

ツールとシステム

ツール用途
CrowdStrike FalconEDR のテレメトリと脅威検知
Microsoft Defender for EndpointKQL を用いた高度なハンティング
Splunk EnterpriseSPL クエリによる SIEM ログ分析
Elastic Security検知ルールと調査タイムライン
Sysmon詳細な Windows イベント監視
Velociraptorエンドポイントのアーティファクト収集とハンティング
Sigma Rulesプラットフォーム非依存の検知ルール形式

一般的なシナリオ

  1. シナリオ 1: コマンド配信に Discord の Webhook を利用した C2
  2. シナリオ 2: Telegram Bot API への データ窃取
  3. シナリオ 3: 動的な C2 に Azure Functions を利用するマルウェア
  4. シナリオ 4: 窃取したデータを Google ドキュメントや Notion ページにステージングする手法

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1102
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]

コメント

Markdown 対応