hunting-for-registry-persistence-mechanisms

レジストリ永続化メカニズムのハンティング

使用するタイミング

• 環境内でレジストリ永続化メカニズムに関する侵害指標を能動的にハンティングするとき
• 脅威インテリジェンスにより、これらの手法を使用する攻撃キャンペーンの活動が示されたとき
• インシデント対応中に、これらの手法に関連する侵害の範囲を特定するとき
• EDR または SIEM のアラートが関連する指標で発報したとき
• 定期的なセキュリティ評価およびパープルチーム演習の期間中

前提条件

• プロセスおよびネットワークのテレメトリを取得できる EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC の相関分析に使用する脅威インテリジェンスフィード

ワークフロー

1. 仮説の策定: 脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースの特定: 仮説を検証または反証するために必要なログとテレメトリを決定します。
3. クエリの実行: SIEM および EDR プラットフォームに対して検知クエリを実行し、関連するイベントを収集します。
4. 結果の分析: 複数のデータソースを相関させながら、クエリ結果の異常を調べます。
5. 所見の検証: 文脈分析によって真陽性と偽陽性を区別します。
6. 活動の相関付け: 所見をより広範な攻撃チェーンおよび脅威アクターの TTP に関連付けます。
7. 文書化と報告: 所見を記録し、検知ルールを更新して、対応措置を推奨します。

主要な概念

概念	説明
T1547.001	Registry Run Keys
T1547.004	Winlogon Helper DLL
T1546.012	IFEO Injection
T1546.015	COM Hijacking

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL を使用した高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォームの検知ルール形式

一般的なシナリオ

1. シナリオ 1: マルウェアがユーザーレベルの永続化のために HKCU Run キーを追加する
2. シナリオ 2: 攻撃者がシステムレベルの永続化のために Winlogon Shell を改変する
3. シナリオ 3: アクセシビリティ機能のバックドアとして IFEO デバッガーインジェクションを行う
4. シナリオ 4: DLL の読み込みのために COM オブジェクトの InprocServer32 をハイジャックする

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1547.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]