hunting-for-scheduled-task-persistence

スケジュールタスクによる永続化の探索

使用するタイミング

• スケジュールタスクによる永続化の兆候を、環境内で能動的に探索するとき
• 脅威インテリジェンスによって、これらの手法を使う攻撃キャンペーンが活発であると示されたとき
• インシデント対応中に、これらの手法に関連する侵害範囲を特定するとき
• EDR または SIEM が関連する兆候でアラートを発したとき
• 定期的なセキュリティ評価や、パープルチーム演習の期間中

前提条件

• プロセスおよびネットワークのテレメトリを取得できる EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC の相関分析に使用する脅威インテリジェンスフィード

ワークフロー

1. 仮説の策定: 脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースの特定: 仮説を検証または反証するために必要なログとテレメトリを決定します。
3. クエリの実行: SIEM および EDR プラットフォームに対して検知クエリを実行し、関連するイベントを収集します。
4. 結果の分析: 複数のデータソースを横断して相関させながら、クエリ結果の異常を調べます。
5. 検出結果の検証: 文脈分析を通じて、真陽性と偽陽性を区別します。
6. 活動の相関分析: 検出結果を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 文書化と報告: 検出結果を記録し、検知ルールを更新して、対応措置を推奨します。

主要な概念

概念	説明
T1053.005	スケジュールタスク
T1053.003	Cron
T1053.002	At

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検出
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	プラットフォーム非依存の検知ルール形式

よくあるシナリオ

1. シナリオ 1: schtasks で定期的なビーコンを作成する Cobalt Strike による永続化
2. シナリオ 2: 再起動後に再実行させるためのランサムウェアのスケジュールタスク
3. シナリオ 3: 30 分ごとに実行される、エンコードされた PowerShell を使う APT のタスク
4. シナリオ 4: 機密ファイルを定期的にコピーする内部関係者のタスク

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1053.005
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]