hunting-for-registry-run-key-persistence

レジストリ Run キーの永続化の検出

概要

レジストリ Run キー（T1547.001）は、攻撃者が最もよく使う永続化の仕組みの一つです。Windows レジストリの Run キーにプログラムが追加されると、ユーザーがログインした時点で自動的に実行されます。攻撃者は HKLM\Software\Microsoft\Windows\CurrentVersion\Run、HKCU\Software\Microsoft\Windows\CurrentVersion\Run、およびそれらに対応する RunOnce キーを悪用して永続化を維持します。Sysmon Event ID 13（RegistryEvent - Value Set）は、対象オブジェクトのパス、変更を行ったプロセス、新しい値を含むレジストリ値の変更を記録します。検出では、これらのイベントを監視し、一時ディレクトリ内の不審な実行ファイル、エンコードされた PowerShell コマンド、LOLBin のパス、通常は Run キーのエントリを作成しないプロセスを確認します。Event 13 を Event 1（Process Creation）および Event 11（FileCreate）と組み合わせると、ペイロードの作成と実行を確認できるため、検出の精度が高まります。

使用するタイミング

• Run キーによるレジストリ永続化の調査が必要なセキュリティインシデントを調査するとき
• この領域の検出ルールまたは脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に必要な構造化された手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• Event ID 13 を記録するように設定された Sysmon がインストールされた Windows システム
• Run/RunOnce キー向けの RegistryEvent ルールを含む Sysmon 設定
• json、xml.etree.ElementTree、re モジュールを備えた Python 3.9 以降
• Sysmon ログを収集する SIEM またはログアグリゲーター（Splunk、Elastic、Sentinel）
• ベースライン比較のための、正規の自動起動プログラムに関する知識

手順

1. Run/RunOnce キーのパスでフィルタリングした Sysmon Event ID 13 のログを収集する
2. イベントの XML/JSON を解析し、TargetObject、Details（書き込まれた値）、Image（変更を行ったプロセス）を取得する
3. 値が一時ディレクトリ、AppData、ProgramData を指しているエントリにフラグを付ける
4. レジストリ値内のエンコードされた PowerShell コマンドやスクリプトインタープリターを検出する
5. LOLBin の悪用（mshta.exe、rundll32.exe、regsvr32.exe、wscript.exe）を特定する
6. 正規の自動起動エントリの既知の正常なベースラインと比較する
7. 変更を行ったプロセス（Image）が通常と異なるか（cmd.exe、powershell.exe、python.exe など）を確認する
8. Event ID 1 と照合し、登録されたバイナリが最近作成されたかを検証する
9. MITRE ATT&CK のマッピングと重大度スコアを含む検出レポートを生成する
10. 検出結果から Sigma/Splunk の検出ルールを作成する

期待される出力

レジストリパス、書き込まれた値、変更を行ったプロセス、タイムスタンプ、MITRE テクニックのマッピング、重大度評価、および推奨される Sigma 検出ルールを含む、不審な Run キーエントリの一覧を示す JSON レポート。