hunting-for-shadow-copy-deletion

シャドウコピー削除のハンティング

使用するタイミング

• 環境内でシャドウコピー削除の兆候を能動的にハンティングする場合
• 脅威インテリジェンスによって、これらの手法を用いた攻撃キャンペーンが活発であると示された後
• インシデント対応中に、これらの手法に関連する侵害の範囲を特定する場合
• EDR や SIEM の関連する兆候でアラートが発生した場合
• 定期的なセキュリティ評価やパープルチーム演習の期間中

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で展開された Sysmon
• Windows セキュリティイベントログの転送が有効になっていること
• IOC の相関分析に使用する脅威インテリジェンスフィード

ワークフロー

1. 仮説の立案: 脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースの特定: 仮説を検証または反証するために必要なログとテレメトリを特定します。
3. クエリの実行: SIEM および EDR プラットフォームに対して検出クエリを実行し、関連するイベントを収集します。
4. 結果の分析: 複数のデータソースをまたいで相関させながら、クエリ結果の異常を調べます。
5. 検出結果の検証: 文脈分析を通じて、真陽性と偽陽性を区別します。
6. 活動の相関付け: 検出結果をより広範な攻撃チェーンや脅威アクターの TTP に結び付けます。
7. 文書化と報告: 検出結果を記録し、検出ルールを更新して、推奨する対応アクションを提示します。

主要な概念

概念	説明
T1490	Inhibit System Recovery
T1486	Data Encrypted for Impact
T1485	Data Destruction

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検出
Microsoft Defender for Endpoint	KQL を用いた高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検出ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	プラットフォームに依存しない検出ルール形式

よくあるシナリオ

1. シナリオ 1: 暗号化の前にシャドウコピーを削除するランサムウェア
2. シナリオ 2: 暗号化の前に実行される vssadmin delete shadows /all /quiet
3. シナリオ 3: PowerShell 経由の WMIC shadowcopy delete
4. シナリオ 4: 影響を与える前に回復モードを無効化する bcdedit

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1490
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]