hunting-for-webshell-activity

Web シェル活動のハンティング

使用する場面

• 環境内で Web シェル活動の兆候をプロアクティブにハンティングする場合
• 脅威インテリジェンスにより、これらの手法を使ったキャンペーンが進行中であることが示された後
• インシデント対応で、これらの手法に関連する侵害の範囲を調査する場合
• EDR または SIEM のアラートが関連する兆候を検知した場合
• 定期的なセキュリティ評価やパープルチーム演習の際

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータが取り込まれた SIEM（Splunk、Elastic、Sentinel）
• 包括的な設定で Sysmon を導入済みであること
• Windows セキュリティイベントログの転送が有効であること
• IOC の相関分析に利用する脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
2. データソースを特定する：仮説の検証または否定に必要なログとテレメトリを判断します。
3. クエリを実行する：SIEM と EDR のプラットフォームで検知クエリを実行し、関連するイベントを収集します。
4. 結果を分析する：クエリ結果を調べ、複数のデータソース間で相関分析を行いながら異常を特定します。
5. 調査結果を検証する：状況に応じた分析を通じて、真陽性と偽陽性を区別します。
6. 活動を相関させる：調査結果を、より広範な攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 記録して報告する：調査結果を記録し、検知ルールを更新して、対応策を提案します。

主な概念

概念	説明
T1505.003	Web シェル
T1190	公開向けアプリケーションの悪用
T1059.001	PowerShell

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL を使った高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	Windows イベントの詳細な監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォームの検知ルール形式

よくあるシナリオ

1. シナリオ 1：IIS の脆弱性を経由した China Chopper Web シェル
2. シナリオ 2：脆弱なアップロード機能を経由した ASPXSpy
3. シナリオ 3：画像ファイルに隠された PHP シェル
4. シナリオ 4：Tomcat マネージャーコンソールを経由した JSP シェル

出力形式

Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1505.003
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]