hunting-for-unusual-network-connections

不審なネットワーク接続のハンティング

使用するタイミング

• 環境内で不審なネットワーク接続の兆候を積極的にハンティングする場合
• 脅威インテリジェンスにより、これらの手法を用いたキャンペーンが進行中であることが示された後
• インシデント対応で、これらの手法に関連する侵害の範囲を特定する場合
• EDR または SIEM のアラートが、関連する兆候を検知した場合
• 定期的なセキュリティ評価やパープルチーム演習の際

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な設定で導入された Sysmon
• Windows Security Event Log の転送が有効になっていること
• IOC 照合用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または反証するために必要なログとテレメトリを判断します。
3. クエリを実行する：SIEM および EDR プラットフォームに対して検知クエリを実行し、関連するイベントを収集します。
4. 結果を分析する：クエリ結果を調べ、複数のデータソースを横断して相関分析を行い、異常を特定します。
5. 発見事項を検証する：状況を踏まえた分析により、真陽性と偽陽性を区別します。
6. 活動を相関付ける：発見事項を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 記録して報告する：発見事項を記録し、検知ルールを更新して、対応措置を提案します。

主な概念

概念	説明
T1071	アプリケーション層プロトコル
T1095	非アプリケーション層プロトコル
T1571	非標準ポート

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォーム対応の検知ルール形式

よくあるシナリオ

1. シナリオ 1：バックドアが非標準ポートを介して C2 と通信する
2. シナリオ 2：攻撃者のネームサーバーへの DNS 通信を介したデータ流出
3. シナリオ 3：侵害されたホストによる内部ネットワークのスキャン
4. シナリオ 4：クリプトマイナーがマイニングプールに接続する

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1071
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]