mcpField
H
hunting-for-persistence-mechanisms-in-windows

hunting-for-persistence-mechanisms-in-windows

github.com/mukul975セキュリティ35.2k55 回インストール8 週間前に更新
リポジトリ

hunting-for-persistence-mechanisms-in-windows について

Windows の永続化メカニズムを調査する脅威ハンティング向けスキルです。セキュリティチームが端末データの収集、基準との比較、異常の調査と対処を進める手順を示します。

主な機能

  1. 01Windows の永続化箇所を列挙
  2. 02端末アーティファクトを収集
  3. 03既知の正常な基準と比較
  4. 04異常を調査し活動を関連付け
  5. 05調査結果と対処を記録

活用シーン

  1. 01休眠中のバックドアを探索
  2. 02インシデント後に永続化を確認
  3. 03不審なサービスやスタートアップ項目を調査
  4. 04未許可の常駐ソフトを端末で評価

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-persistence-mechanisms-in-windows

インストール後、Claude Code で/hunting-for-persistence-mechanisms-in-windowsを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

Windows における永続化メカニズムのハンティング

使用するタイミング

  • 休眠状態のバックドアを対象とした定期的なプロアクティブ脅威ハンティング
  • インシデント発生後に、攻撃者が仕掛けた永続化メカニズムをすべて特定する場合
  • 不審なサービス、スケジュールされたタスク、スタートアップ項目を調査する場合
  • 脅威インテリジェンスの報告で、新たな永続化手法が実環境で確認された場合
  • セキュリティ態勢の評価で、許可されていない永続的なソフトウェアを特定する場合

前提条件

  • イベント ID 12/13/14（レジストリ）、19/20/21（WMI）、1（プロセス作成）を有効にして Sysmon を導入していること
  • 4697（サービスのインストール）、4698（スケジュールされたタスク）の Windows セキュリティイベント転送が設定されていること
  • レジストリとファイルの監視機能を備えた EDR があること
  • PowerShell スクリプトブロックのログ記録が有効であること（イベント ID 4104）
  • Autoruns、または正当な永続化項目の同等のベースラインがあること

ワークフロー

  1. 既知の永続化場所を列挙する：Windows の永続化ポイント（Run キー、サービス、スケジュールされたタスク、WMI、スタートアップフォルダー、DLL 検索順序、COM ハイジャック、AppInit DLL、Image File Execution Options）の包括的な一覧を作成します。
  2. エンドポイントデータを収集する：EDR、Sysmon、または Velociraptor を使用して、環境内のエンドポイントから現在の永続化アーティファクトを収集します。
  3. 正当な永続化項目のベースラインを作成する：収集したデータを、信頼できるベースライン（Autoruns のスナップショット、GPO で配布された項目、SCCM の構成）と比較します。
  4. 異常を特定する：永続化場所にある、ベースラインと異なる新規、未署名、または不明な項目にフラグを立てます。
  5. 不審な項目を調査する：各異常について、参照先のバイナリ、デジタル署名、ファイルハッシュ、作成タイムスタンプを調べます。
  6. プロセスアクティビティと関連付ける：永続化項目を、プロセス実行、ネットワークアクティビティ、ユーザーログインイベントと関連付けます。
  7. 記録して修復する：調査結果を記録し、悪意のある永続化を削除して、検出ルールを更新します。

主な概念

概念説明
T1547.001レジストリ Run キー／スタートアップフォルダー
T1543.003Windows サービス（作成または変更）
T1053.005スケジュールされたタスク
T1546.003WMI イベントサブスクリプション
T1546.015コンポーネントオブジェクトモデル（COM）ハイジャック
T1546.012Image File Execution Options インジェクション
T1546.010AppInit DLL
T1547.004Winlogon ヘルパー DLL
T1547.005セキュリティサポートプロバイダー
T1574.001DLL 検索順序ハイジャック
TA0003永続化戦術
Autoruns永続化項目を表示する Sysinternals ツール

ツールとシステム

ツール目的
Sysinternals Autoruns永続化項目の包括的な列挙
Velociraptorエンドポイント全体からの永続化アーティファクト収集
CrowdStrike Falconリアルタイムの永続化監視
Sysmonレジストリと WMI イベントの監視
OSQuerySQL ベースの永続化クエリ
RECmdフォレンジック分析用の Registry Explorer
Splunk永続化イベントの SIEM 相関分析

一般的なシナリオ

  1. レジストリ Run キーのバックドア：マルウェアが %APPDATA% 内のペイロードを指す HKCU\Software\Microsoft\Windows\CurrentVersion\Run エントリを追加します。
  2. WMI イベントサブスクリプション：攻撃者が、システム起動時に PowerShell を実行する WMI コンシューマーとフィルターのペアを作成します。
  3. 悪意のあるサービス：攻撃者が sc create を使用して、バックドアのバイナリを指す Windows サービスを作成します。
  4. COM オブジェクトのハイジャック：正規の COM CLSID の InprocServer32 パスが、悪意のある DLL に置き換えられます。
  5. IFEO デバッガーインジェクション：Image File Execution Options キーに、一般的なユーティリティ向けのインプラントを指すデバッガーが設定されます。

出力形式

Hunt ID: TH-PERSIST-[DATE]-[SEQ]
Persistence Type: [Registry/Service/Task/WMI/COM/Other]
MITRE Technique: T1547.xxx / T1543.xxx / T1053.xxx
Location: [Full registry key / service name / task path]
Value: [Binary path / command line]
Host(s): [Affected endpoints]
Signed: [Yes/No]
Hash: [SHA256]
Creation Time: [Timestamp]
Risk Level: [Critical/High/Medium/Low]
Verdict: [Malicious/Suspicious/Benign]

コメント

Markdown 対応