hunting-for-unusual-service-installations

不審なサービスのインストールを調査する

概要

攻撃者は、永続化と特権昇格を目的として、悪意のある Windows サービスを頻繁にインストールします（MITRE ATT&CK T1543.003 — システムプロセスの作成または変更：Windows サービス）。System イベントログのイベント ID 7045 には、新しいサービスがインストールされるたびに記録されます。このスキルでは、.evtx ログファイルを解析してサービスのインストールイベントを抽出し、不審なバイナリパス（一時ディレクトリ、PowerShell、cmd.exe、エンコードされたコマンド）にフラグを立て、既知の攻撃パターンと照合します。

使用するタイミング

• 不審なサービスのインストールを調査する必要があるセキュリティインシデントを調査するとき
• この分野の検出ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストが、この種の分析のための体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• python-evtx、lxml を含む Python 3.9 以降
• Windows System イベントログ（.evtx）ファイル
• 稼働中の System イベントログへのアクセス（任意、リアルタイム監視用）
• プロセス追跡を強化するための Sysmon ログ（任意）

手順

1. System.evtx を解析し、イベント ID 7045（新しいサービスのインストール）を抽出します
2. サービス名、バイナリパス、サービスの種類、アカウントを抽出します
3. 不審なバイナリパス（一時ディレクトリ、エンコードされたコマンド）を持つサービスにフラグを立てます
4. PowerShell を使用したサービス作成パターンを検出します
5. 通常とは異なるパスで LocalSystem として実行されているサービスを特定します
6. 既知の正規サービスのベースラインと照合します
7. MITRE ATT&CK T1543.003 との対応付けを含む脅威ハンティングレポートを作成します

期待される出力

• リスクスコア、不審な兆候、修復の推奨事項を含む、すべての新規サービスインストールを列挙した JSON レポート
• バイナリパスの分析を含む、サービスインストールイベントのタイムライン