hunting-for-supply-chain-compromise

サプライチェーン侵害のハンティング

使用するタイミング

• 環境内でサプライチェーン侵害の兆候をプロアクティブにハンティングする場合
• 脅威インテリジェンスにより、これらの手法を用いたキャンペーンが進行中であることが示された場合
• これらの手法に関連する侵害の範囲を特定するインシデント対応中
• EDR または SIEM のアラートが関連する兆候を検出した場合
• 定期的なセキュリティ評価やパープルチーム演習中

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
• 包括的な構成で Sysmon を導入済み
• Windows Security Event Log の転送を有効化済み
• IOC の相関分析に使用する脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースを特定する：仮説の検証または反証に必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM および EDR プラットフォームに対して検出クエリを実行し、関連するイベントを収集します。
4. 結果を分析する：複数のデータソース間で相関分析を行いながら、クエリ結果に異常がないか調べます。
5. 検出結果を検証する：コンテキスト分析を通じて、真陽性と偽陽性を区別します。
6. アクティビティを相関分析する：検出結果を、より広範な攻撃チェーンおよび脅威アクターの TTP に関連付けます。
7. 記録して報告する：検出結果を記録し、検出ルールを更新して、対応アクションを推奨します。

主な概念

概念	説明
T1195.001	ソフトウェア依存関係の侵害
T1195.002	ソフトウェアサプライチェーンの侵害
T1199	信頼関係

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検出
Microsoft Defender for Endpoint	KQL を使用した高度なハンティング
Splunk Enterprise	SPL クエリを使用した SIEM ログ分析
Elastic Security	検出ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォームの検出ルール形式

よくあるシナリオ

1. シナリオ 1：SolarWinds 型の更新メカニズムの侵害
2. シナリオ 2：バックドアを仕込まれた npm/PyPI パッケージ
3. シナリオ 3：改ざんされたビルドサーバーによる悪意あるアーティファクトのデプロイ
4. シナリオ 4：ベンダーの VPN ソフトウェア更新を介したマルウェアの配信

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1195.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]