hunting-for-process-injection-techniques

プロセスインジェクション手法のハンティング

概要

プロセスインジェクション（MITRE ATT&CK T1055）を使うと、攻撃者は別のプロセスのアドレス空間内でコードを実行でき、検知の回避や権限昇格を実現できます。このスキルでは、Sysmon イベント ID 8（CreateRemoteThread）、イベント ID 10（不審なアクセス権を伴う ProcessAccess）、および送信元プロセスと対象プロセスの関係分析を通じて、正当なインジェクションと悪意のあるインジェクションを区別し、インジェクション手法を検知します。

使用する場面

• プロセスインジェクション手法のハンティングが必要なセキュリティインシデントを調査する場合
• この分野の検知ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの分析種別の体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視の網羅性を検証する場合

前提条件

• イベント ID 8 および 10 が有効になっている Sysmon のインストール
• プロセス作成ログ（Sysmon イベント ID 1 または Windows 4688）
• 標準ライブラリを含む Python 3.8+
• JSON 形式の Sysmon イベントログ

手順

1. Sysmon イベントを解析する — JSON ログファイルからイベント ID 1、8、10 を取り込む
2. CreateRemoteThread を検知する — 不審な送信元・対象プロセスの組み合わせを含むイベント ID 8 にフラグを付ける
3. ProcessAccess の権限を分析する — 危険なアクセスマスク（PROCESS_VM_WRITE、PROCESS_CREATE_THREAD）を持つイベント ID 10 を特定する
4. プロセス関係グラフを構築する — 送信元から対象へのインジェクション関係をマッピングする
5. 既知の正当な組み合わせを除外する — 既知の無害なインジェクションパターン（AV、デバッガー、システムプロセス）を除外する
6. インジェクションの重大度をスコアリングする — 送信元プロセス、対象プロセス、アクセス権に基づいてリスクをスコアリングする
7. ハンティングレポートを生成する — MITRE サブテクニックのマッピングを含む、構造化レポートを作成する

期待される出力

• 検知したインジェクションイベントと重大度スコアを含む JSON レポート
• プロセスインジェクションの関係グラフ
• MITRE ATT&CK サブテクニックのマッピング（T1055.001-T1055.012）
• 誤検知の除外に関する推奨事項