NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。
受講対象者
- ランサムウェアのインシデント対応を支援するフォレンジック成果物の収集、解析、分析方法を学びたい情報セキュリティ専門家
- インシデント対応チームのメンバーで、Windowsのデータ侵害や侵入のケースを解決し、被害評価を実行し、侵害の指標を開発するために、深く掘り下げたデジタル・フォレンジックを使用する必要がある。
- セキュリティ・オペレーション・センターやコンピュータ・インシデント・レスポンス・チームなどで働くインシデント・トリアージ・アナリスト
- ランサムウェアのインシデント対応を支援する必要のあるマネージド・サービス・プロバイダー（MSP）およびマネージド・セキュリティ・サービス・プロバイダー（MSSP）のアナリスト
- ランサムウェア捜査の専門家になりたい法執行官、連邦捜査官、刑事
- ランサムウェア・イベントに対応する必要がある医療機関や接客業のITスタッフ
- 情報システム、情報セキュリティ、コンピュータのバックグラウンドを持ち、ランサムウェアに特化したインシデントレスポンスについて深く理解したい方
- サイバー防衛インシデント対応者（OPM 531）
- サイバー・オペレーター（OPM 321）
- サイバー犯罪捜査官 (OPM 221)
- 法執行/防諜フォレンジック・アナリスト (OPM 211)
- サイバー防衛フォレンジック・アナリスト（OPM 212）
コース開発者より
ランサムウェアはユビキタスになっている。ランサムウェアの災禍を世界から取り除くために私たちがいくら組織化しても、ランサムウェアはより一般的になり、脅威行為者はますます大胆になり、組織はこれらの攻撃の圧力に屈し続けている。幸いなことに、ランサムウェアの攻撃者が攻撃を成功させる主な方法には、「セキュリティ101」の実践における一般的な失敗が関わっている。私たちが協力し合えば、これらは修正することができる！それまでは、私たちセキュリティ実務者は、このような脅威にどのように対応すべきかを知っておく必要があります。あなたとあなたの組織は、何をどのように収集し、そのデータをどのように解析し、そのデータをどのように迅速かつ効率的に分析するかを知る必要がある。このようなことが、私たちのコースの目標です。
- Ryan Chapman
- DAY1
- DAY2
- DAY3
- DAY4
概要
インシデント対応担当者のためのランサムウェア」コースは、ランサムウェアの歴史を振り返ることから始まります。最初に知られたランサムウェア攻撃の話から始まり、私たちの業界に立ちはだかる現在の脅威へと話を進めます。Human Operated Ransomware（HumOR）やRansomware-as-a-Service（RaaS）の出現により、私たちの生活はもちろんのこと、内側につながった生活も日々危険にさらされています。これらの脅威に関連する役割、プロセス、コミュニケーション方法、活動を深く掘り下げることで、ランサムウェアに対する理解が深まります。 私たちが直面している真の脅威と、IRプラクティスを一般的にどのように適用できるかについて学んだ後、ランサムウェアキャンペーンの分析に最適なWindowsベースのフォレンジック成果物について深く掘り下げます。どのようなアーティファクトを収集すべきか、また、どのようなツールや方法が取得や解析に最適かを学びます。組織の準備レベルにかかわらず、分析を容易にするデータを取得するためにできることを説明します。単一マシンに対する直接取得のハンズオンアプローチを学び、その後、アットスケールでの取得と分析に移行します。詳細な実習では、各環境タイプに対応した分析方法を説明します。TimeSketchとKibanaを使用して解析されたアーティファクトを分析し、ランサムウェアの脅威に対応するための簡単な方法とより高度な分析方法を確認します。
演習
- カスタマイズさ れた FOR528 Windowsおよび SIFT VMをインストールし、詳細なログレビューとマルウェア解析に必要な設定を行う。
ランサムウェアの「ビルダー」を利用して、復号化ツールとともにカスタマイズされたランサムウェア暗号化ペイロードを生成します。生成したランサムウェアのペイロードを実行し、暗号化されたファイルを確認した後、復号化ツールを使用してデータを復号化します。 - アーチファクトをレビューし、トをレビューし、KAPEを使用してデータを解析します。を使用してデータを解析します。Timeline Explorerを使用して、マスターファイルテーブルを使用して、マスターファイルテーブル（（MFT）、システムリソース使用状況モニター（SRUM））、シェルバッグ、Shimcache、および、およびWindowsイベントログのアーチファクトに焦点を当てながら、KAPEを介して解析されたデータを確認します。
- TimeSketchインターフェイス内でデータをハントし、MFT、SRUM、Shellbags、Shimcache、および、およびWindowsイベントログの分析が、前のラボでの手動分析からアットスケール分析に移行する際に、どのようにスケールアップするかに焦点を当てる。
- Elasticsearch, Logstash, Kibana (ELK) スタックに関連する最も一般的なインターフェイスである Kibana の内部と外部を、以前のラボで習得したスキルを適応させながら学びます。
トピックス
- コースの仮想マシン
- 概要とセットアップ
- カスタムターゲットの被害者とそのネットワークのレビュー
-
- サマランプロテクト https://samaranpro.com
- カスタム攻撃シナリオの概要。私たちのラボとキャプチャーザフラッグは、これらの攻撃に基づいています。
- 「BlueLocker」ランサムウェアグループ
- 「Balrog」ランサムウェアグループ
- ランサムウェアの進化と歴史
- ランサムウェア攻撃を最初に認識する
- ロッカーとシングルマシン暗号化ペイロード
- 人間が操作するランサムウェア（HUMOR）
- ランサムウェアアズアサービス（RaaS）
- RaaSモデル、階層、役割モデル、階層、役割
- RaaSビルダーとジェネレータービルダーとジェネレーター
- RaaSダッシュボードダッシュボード
- アクセスブローカー（IAB）の設置
- アクセス方法
- ダークネットマーケットプレイス
- 被害者のアクセス：売買
- ランサムウェアの運営者
- グループの経年変化
- 恐喝の種類
- データ漏洩サイトと心理的圧力
- ダークウェブフォーラム通信
- フォレンジックアーティファクトの収集
- Kroll Artifact Parser and Extractor (KAPE)によって収集されたアーティファクトをレビューする。
- KAPEを使用して収集した成果物を処理/解析する。
- 解析されたアーティファクトの出力をレビューし、活用されたツールや方法論をよりよく理解する。
- インシデントレスポンスのプロセスとランサムウェアへの適用
- インシデントレスポンスへの動的アプローチ（DAIR）モデル
- 典型的なランサムウェアキャンペーンのフェーズ
- Windows Forensic Artifacts
- イベントログ、シェルバッグ、シムキャッシュ、SRUMなど
- SANS Windows Forensic Analysis ポスターのレビュー
- タイムラインエクスプローラーを使って、一般的な解析ツールで出力されたCSVファイルを解析する
- アーティファクトコレクションツール
- フォレンジックアーティファクトの収集
- スケール分析
- Velociraptorを使った大量収集
- Sysmonによるログ増強
- Log-MDによるログ監査レビュー
- ログアグリゲータ/SIEMとファイル名
- 分析GUI
- TimeSketch
- Kibana
概要
ランサムウェアのインシデントは特に特殊なものではありません。私たちインシデント・レスポンダーは、同じ戦術、技術、手順（TTP）を何度も目にします！
セクション2では、基礎知識からランサムウェア・キャンペーンの攻撃サイクルの初期段階について説明します。まず、初期アクセス、実行、防御回避、およびスクリプトエンジンの悪用について説明します。ほとんどのランサムウェアのケースでは、攻撃者がPowerShell、バッチスクリプト、JavaScript、Visual Basic Scriptingなどのスクリプトエンジンを活用しています。本日の序盤では、私たちが何度も目にしているさまざまなツールやスクリプトについて説明し、各ツールの概要とハントおよび検出のための詳細を説明します。次に、パーシステンス（永続性）について説明します。一般的なコマンド・アンド・コントロール（C2）メカニズム、リモート監視・管理（RMM）ソリューション、ランサムウェアのオペレータが環境へのアクセスを維持するために使用するWindowsネイティブの方法について学びます。
次のセクションでは、マイクロソフトのActive Directory（AD）に対する攻撃を取り上げます。ランサムウェアの運営者はADを攻撃するのが大好きなので、彼らがADの不十分な設定を利用して特権をエスカレートさせ、クレデンシャルにアクセスするさまざまな方法を説明します。次に、特権のエスカレーション、クレデンシャル・アクセス、および横方向の移動について説明します。ランサムウェアの攻撃者は、どのようなツールを使ってマシンの特権をエスカレートさせるのでしょうか？どのようにしてWindowsホストから保存されているクレデンシャルにアクセスするのでしょうか？どのようなプロセスがよくダンプされ、なぜ、どのようにダンプされるのでしょうか？横方向の移動については、RDP、SMB（特にPsExec）、WinRM、およびその他の方法が、被害者のネットワーク全体を移動するためにどのように使用されるかについて学びます。
セクション2では、基礎知識からランサムウェア・キャンペーンの攻撃サイクルの初期段階について説明します。まず、初期アクセス、実行、防御回避、およびスクリプトエンジンの悪用について説明します。ほとんどのランサムウェアのケースでは、攻撃者がPowerShell、バッチスクリプト、JavaScript、Visual Basic Scriptingなどのスクリプトエンジンを活用しています。本日の序盤では、私たちが何度も目にしているさまざまなツールやスクリプトについて説明し、各ツールの概要とハントおよび検出のための詳細を説明します。次に、パーシステンス（永続性）について説明します。一般的なコマンド・アンド・コントロール（C2）メカニズム、リモート監視・管理（RMM）ソリューション、ランサムウェアのオペレータが環境へのアクセスを維持するために使用するWindowsネイティブの方法について学びます。
次のセクションでは、マイクロソフトのActive Directory（AD）に対する攻撃を取り上げます。ランサムウェアの運営者はADを攻撃するのが大好きなので、彼らがADの不十分な設定を利用して特権をエスカレートさせ、クレデンシャルにアクセスするさまざまな方法を説明します。次に、特権のエスカレーション、クレデンシャル・アクセス、および横方向の移動について説明します。ランサムウェアの攻撃者は、どのようなツールを使ってマシンの特権をエスカレートさせるのでしょうか？どのようにしてWindowsホストから保存されているクレデンシャルにアクセスするのでしょうか？どのようなプロセスがよくダンプされ、なぜ、どのようにダンプされるのでしょうか？横方向の移動については、RDP、SMB（特にPsExec）、WinRM、およびその他の方法が、被害者のネットワーク全体を移動するためにどのように使用されるかについて学びます。
演習
- 悪意のあるRDPアクティビティをハンティングし、最初の感染経路と内部から内部への横方向の動きを特定します。
- 親プロセスとしてのMicrosoft Officeアプリケーション、Windowsでネイティブに開かれたZIPファイル、ZIPファイルのクレデンシャル読み取り操作、Outlookのファイルダウンロード/実行、Microsoft Trust Centerのレビューなどを介して、成功したフィッシング攻撃を特定する。
- エンコードされ難読化されたPowerShellペイロードの解析を学ぶ
- RDP、PsExec、WMI、Cobalt Strikeなどのメカニズムを介した横方向の動きを特定する。
トピックス
ランサムウェア攻撃キャンペーンのフェーズ- 初期アクセス
- 実行
- 防御回避
- 永続性
- Active Directoryに対する攻撃
- 特権のエスカレーション
- クレデンシャル・アクセス
- ラテラルムーブメント
以下のセクションでは、検知とハンティングの方法とともに、ツールやプロセスについて詳しく説明する：
- 初期アクセス
- IVの初期アクセス手法トップ3：RDP、フィッシング、ソフトウェア脆弱性
- フィッシング・ベクター
- マルウェア感染とクレデンシャル・ハーベスティング
- MalDocsのような悪意のある添付ファイル
- メールゲートウェイ・ファイルブロックリストの見直し（リンク先）
- 悪意のあるリンクとその分析方法
- リモートデスクトッププロトコル（RDP）
- Windowsイベントログのインポート
- 悪意のあるRDPアクティビティを特定する
- マルウェア・アズ・ア・サービス（Maas）
- ソフトウェアの悪用／脆弱性
- ゼロデイと共通脆弱性・暴露（CVE）の比較
- 標的とされ、悪用されているCVEの例
- ダークネット・フォーラムでの議論 RE: 脆弱性を知る
- 実行と防御の回避
- スレット・アクターのツール：
- フリー＆オープンソース（FOSS）
- ネイティブ・スクリプト・エンジン
- リビング・オフ・ザ・ランド バイナリーとスクリプト（LOLBAS）
- 敵のエミュレーションのための商用ツール（コバルト・ストライクなど）
- マルウェア・アズ・ア・サービス（MaaS）
- セキュリティ・サービス／メカニズムのバイパス方法
- ネイティブの実行方法
- Windows Management Instrumentation (WMI) 攻撃
- スクリプトエンジンの悪用
- パワーシェル
- バッチスクリプト
- JavaScriptスクリプト
- ビジュアル・ベーシック・スクリプト
- PowerShellのロギングと高度な分析
- Windowsイベントログの関連付けと有効化
- PowerShellパラメータとその目的
- スレット・アクターのツール：
- 永続性
- 一般的なC2手法
- リモート監視・管理（RMM）
- ポストエクスプロイトフレームワーク（Cobaltstrike、Empire、PowerSploitなど）
- アカウント作成
- ブート/ログオン自動起動場所
- サービス設備
- スケジュールされたタスク
- WMIイベント購読
- アクティブ・ディレクトリ（AD）攻撃
- AD列挙
- ブラッドハウンド＆シャープハウンド
- ケルベロースティング
- AS-REP焙煎
- DCSync攻撃
- ゴールデンチケット攻撃
- 特権の昇格とクレデンシャル・アクセス
- よく狙われるアカウント
- 口座が対象とする方法
- ユーザーアカウント制御（UAC）のバイパス方法
- ローカル・セキュリティ・オーソリティ・サーバ・サービス（LSASS）へのアクセスとダンピング
- NTDS.dit攻撃
- 代替クレデンシャル攻撃
- ブラウザやパスワード管理ツールに保存されたパスワードへの攻撃
- セッション・スニッファーとエクストラクター
- よく見かけるオールインワン・ソリューション（WinPwnなど）
- ラテラルムーブメント
- RDPおよびRDPキャッシュビットマップ解析
- サーバー・メッセージ・ブロック（SMB）の横移動
- ネームド・パイプの利用率とサービス設置との関係
- シスインターナル PsExec
- Windowsリモート管理（WinRM）
- ESXiに対する攻撃
概要
次のセクションでは、マイクロソフトのActive Directory（AD）に対する攻撃を取り上げます。ランサムウェアの運営者はADを攻撃するのが大好きなので、ADの設定が不十分であることを利用して特権をエスカレートさせ、認証情報にアクセスするさまざまな方法を紹介します。
セクション3では、ランサムウェア攻撃のライフサイクルにおいて、より重要なセクションの1つである「データアクセスとデータ流出」を取り上げます。組織は通常、どのようなデータがアクセスされたのか、あるいは盗まれたのかを知りたがります。私たちは、これらの活動を促進するツールを狩る方法を含め、データのアーカイブとステージング方法をカバーしています。FTPが一般的な流出経路であることを信じられますか？どのようなデータが流出しているのかわからなくても、どのようにすれば流出したデータを検知できるのでしょうか？私たちはそれをお見せします！
その後、ランサムウェア攻撃の最終段階であるペイロードの展開と暗号化の内部構造に移ります。バックアップとリカバリーの改ざんについて、ランサムウェアの実行者がバックアップシステムを攻撃する方法とともに学びます。行為者がその痕跡を隠す方法は明白に見えるかもしれません！最後に、最も一般的なペイロードの展開方法に関する技術的な詳細を説明します。
そして、敵対者のエミュレーションと攻撃シミュレーション・ツールであり、おそらくその仕事が上手すぎるようになった Cobalt Strike（CS）の詳細なレビューに軸足を移す。侵入テスト担当者やレッドチームなど、世界中の多くのセキュリティ専門家がCSに依存している。残念ながら、ランサムウェア攻撃の非常に高い割合で、この非常に強力な商用ツールが使用されています。このツールのインフラストラクチャ、Malleable C2プロファイル、ペイロードの検出／難読化手法などについて学びます。このモジュールには、CSペイロードのデコードを学ぶ実習ラボが含まれています。
次の章では、暗号化されそうな場合、現在暗号化されている場合、あるいは最近暗号化された場 合に何をすべきかを説明する。特に時間的な要件に注意を払いながら、連絡する必要のある組織、関与する必要のある部署、導入する必要のあるプロセスなど、あなたが取るべき行動を取り上げます。時間は刻一刻と迫っている！最後に、リネームされた実行可能ファイル、ディレクトリ分析による悪意のあるファイル／プロセス、アンチウイルス・ログ分析による一般的な攻撃の特定など、ハンティング手法を取り上げます。ここでは、組織を監視するための最善の方法を紹介します。
演習
- NTFSメタデータ（NTFS、UsnJrnlなど）のハントとピボット、取得したアーティファクトの手動解析、タイムラインエクスプローラー、TimeSketch、Kibanaにより、データアクセスと流出の可能性をハントし、特定する。
- PowerShellシェルコードインジェクターや "stageless "ビーコンEXEおよびDLLローダーを含むCobalt Strikeペイロードのデコードと分析。
- PSTools、リネームされた実行ファイル、共通ディレクトリなどを検出するハンティング手法により、脅威者のツールボックスを検出する。
トピックス
- データ・アクセス
- 報告および法的考慮事項
- ネットワーク共有の列挙とアクセス
- 削除されたファイルとファイルの知識
- ファイルとフォルダへのアクセス
- レジストリ分析
- ツール固有の分析
- データ流出
- アーカイブ作成
- データステージング
- .txtファイルと.csvファイルの作成と使用
- データ流出経路
- ネットワークログとNetFlowのレビュー
- バックアップとリカバリーの改ざん
- ボリュームシャドウサービス攻撃
- ブート構成データ、Windowsブートステータスポリシー、Windowsバックアップ攻撃
- イベントログの消去
- ペイロードの展開
- 一般的な配備ツールと方法
- PsExecによるデプロイメント
- WMIC経由での展開
- BITSによる配備
- 暗号化と復号化
- 暗号化キーの種類
- 上書きとコピー／削除の暗号化方法
- 身代金のメモ
- 暗号化機構のソースコードレビュー
- 復号機
- コバルト・ストライク（CS）
- 脅威行為者のアクセスと利用
- CSのアーキテクチャとコンポーネント
- 可鍛性C2プロファイル
- コマンドとチートシート
- 検出方法
- ペイロード・デコーディング・ツールと方法
- 能動的脅威への対処
- 時間への配慮
- インフォームド・コンセント
- 関与が必要な部門と役割
- 「ゴーイングダーク」（インターネット接続の切断）
- 重要なサービスと機能の確保
- ランサムウェアの支払い
- 支払いに関する短所
- 支払いに関する長所
- 脅威とのコミュニケーションと交渉
- ランサムウェア運営者を狩る。特定するテクニック：
- 悪意のあるRDP接続
- プロセス名とパスの異常
- 不正な実行ファイル
- PowerShellでエンコードされたコマンド
- アンチウイルスのログにおける悪意のある活動
- 環境変数に関わる悪質な行為
概要
ランサムウェアインシデントに対応するための準備として、経験以上のものはありません。ランサムウェアの感染経路から、環境内で実行される暗号化ペイロードに至るまで、ランサムウェアのインシデントを分析します。このCTFチャレンジでは、ランサムウェアの感染経路から、環境内で実行される暗号化ペイロードに至るまで、インシデントを分析します。私たちは、Samaran Protectという被害者組織を作成しました。私たちのCTFチャレンジは、被害者の組織に対する特別に作成された攻撃シナリオに関する70以上の質問で構成されています。ターゲットとなる被害者のネットワークには、3 つの VLAN を持つ 16 台のホストが含まれています：
これらの攻撃を実行するために、私たちは2つの異なるランサムウェアグループを考案しました。各グループは、現在稼働しているランサムウェア脅威グループの集合体です。活用した戦術、技術、手順（TTP）は、ランサムウェアイベントに対応する人々が日々目にする現実世界のシナリオを反映したものです。各シナリオに関与する行為者は、異なる侵入方法、クレデンシャル・アクセス方法、ツール、展開方法、暗号化ペイロードを使用します。
さらに、各シナリオは異なるタイプの環境を模倣している：被害者である組織がインシデント対応に役立つフォレンジックデータを意図的に収集していない場合と、被害者が十分な手段を講じ、何事にも備えている場合である。あなたの組織が、インシデント発生後にすべてのアーティファクトの収集と解析を開始する必要がある場合でも、データロギングを強化して本格的なSIEMを活用する場合でも、キャップストーンで取り上げた方法は、あなたの組織の方法と能力に関連付けるのに役立ちます。
エクササイズ
解析されたフォレンジック・アーチファクトとログを丸一日かけて分析し、2つの個別のシナリオを使用して、あらゆるランサムウェアインシデントで一般的な質問に答えます。
シナリオ1：「BlueLocker」ランサムウェア
シナリオ2：「Balrog」ランサムウェア
トピックス
- デジタル・フォレンジック・キャップストーン
- 分析
- TimeSketchを使用して、シナリオ1の解析された成果物とログデータをレビューする。
- Kibanaを使用してシナリオ2の解析されたアーティファクトとログデータをレビューする。
- Windowsのイベントログ、シスモンデータ、プログラム実行の成果物、レジストリのハイブファイルなどを調査します。
- 最初の感染ベクターから暗号化ペイロードの展開と実行に至るまで、脅威行為者の行動を追跡する。
- 各攻撃キャンペーンの各主要フェーズで使用されるツール、スクリプト、戦術、プロセスを特定する。
- 分析
- ランサムウェアの発生後、すべての組織が回答を求める以下のような質問にお答えします：
- 俳優たちはどのようにしてネットワークに入ったのですか？
- 俳優たちはどのようなデータにアクセスできたのか？
- 行為者はデータを盗む（＝流出させる）ことができたのか？
- 暗号化ペイロードそのものを含め、キャンペーン全体によって影響を受けたシステムは？
- そしてもっと！
