mcpField
H
hunting-for-startup-folder-persistence

hunting-for-startup-folder-persistence

github.com/mukul975セキュリティ35.2k41 回インストール8 週間前に更新
リポジトリ

hunting-for-startup-folder-persistence について

Windows のスタートアップフォルダーにおける永続化を調べるセキュリティ分析スキルです。インシデント対応担当者や SOC アナリスト向けに、ファイル検査とリアルタイム監視を案内し、MITRE ATT&CK T1547.001 に対応した JSON レポートを作成します。

主な機能

  1. 01ユーザーとシステムのスタートアップフォルダーを列挙
  2. 02ファイル種別、タイムスタンプ、署名を検査
  3. 03不審な拡張子と新しいファイルを検出
  4. 04watchdog によるフォルダー変更の監視
  5. 05リスクスコア付き JSON レポートを作成

活用シーン

  1. 01スタートアップフォルダーの永続化を調査
  2. 02起動ディレクトリ内の新規ファイルを監視
  3. 03T1547.001 の検出範囲を検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-startup-folder-persistence

インストール後、Claude Code で/hunting-for-startup-folder-persistenceを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

スタートアップフォルダーによる永続化の調査

概要

攻撃者は、Windows のスタートアップフォルダーを永続化に利用します（MITRE ATT&CK T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder）。%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup または C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup に配置されたファイルは、ユーザーのサインア웃時ではなく、ユーザーのログオン時に自動的に実行されます。このスキルは、スタートアップディレクトリ内の不審なファイルをスキャンし、Python の watchdog を使用してリアルタイムで変更を監視し、ファイルのメタデータを分析して永続化インプラントを検出します。

使用するタイミング

  • スタートアップフォルダーによる永続化の調査が必要なセキュリティインシデントを調査するとき
  • この領域に関する検出ルールや脅威ハンティングクエリを作成するとき
  • SOC アナリストがこの種の分析に必要な構造化された手順を必要とするとき
  • 関連する攻撃手法に対するセキュリティ監視の網羅性を検証するとき

前提条件

  • watchdog、pefile（PE 分析に任意）を含む Python 3.9 以降
  • Windows スタートアップフォルダー（ユーザー用および全ユーザー用）へのアクセス
  • イベント ID 4663 との相関分析用の Windows イベントログ（任意）

手順

  1. ユーザーおよびシステムのスタートアップディレクトリ内のすべてのファイルを列挙する
  2. ファイルの種類、作成日時、デジタル署名を分析する
  3. 不審なファイル拡張子（.bat、.vbs、.ps1、.lnk、.exe）にフラグを付ける
  4. 最近作成されたファイル（7 日未満）を、潜在的なインプラントとして確認する
  5. watchdog の FileSystemEventHandler を使用して、スタートアップフォルダーをリアルタイムで監視する
  6. 既知の正規のスタートアップエントリーと相関分析する
  7. T1547.001 の MITRE マッピングを含む脅威ハンティングレポートを生成する

期待される出力

  • スタートアップフォルダーの全内容を、リスクスコア、ファイルメタデータ、不審な兆候とともに一覧化した JSON レポート
  • スタートアップディレクトリへの新規ファイル作成に関するリアルタイム監視アラート

コメント

Markdown 対応