NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。
※本コースは中止となりました。次回開催をお待ちください。
受講対象者
- ランサムウェアのインシデント対応を支援するフォレンジック成果物の収集、解析、分析方法を学びたい情報セキュリティ専門家
- インシデント対応チームのメンバーで、Windowsのデータ侵害や侵入のケースを解決し、被害評価を実行し、侵害の指標を開発するために、深く掘り下げたデジタル・フォレンジックを使用する必要がある。
- セキュリティ・オペレーション・センターやコンピュータ・インシデント・レスポンス・チームなどで働くインシデント・トリアージ・アナリスト
- ランサムウェアのインシデント対応を支援する必要のあるマネージド・サービス・プロバイダー（MSP）およびマネージド・セキュリティ・サービス・プロバイダー（MSSP）のアナリスト
- ランサムウェア捜査の専門家になりたい法執行官、連邦捜査官、刑事
- ランサムウェア・イベントに対応する必要がある医療機関や接客業のITスタッフ
- 情報システム、情報セキュリティ、コンピュータのバックグラウンドを持ち、ランサムウェアに特化したインシデントレスポンスについて深く理解したい方
- サイバー防衛インシデント対応者（OPM 531）
- サイバー・オペレーター（OPM 321）
- サイバー犯罪捜査官 (OPM 221)
- 法執行/防諜フォレンジック・アナリスト (OPM 211)
- サイバー防衛フォレンジック・アナリスト（OPM 212）
コース開発者より
ランサムウェアはユビキタスになっている。ランサムウェアの災禍を世界から取り除くために私たちがいくら組織化しても、ランサムウェアはより一般的になり、脅威行為者はますます大胆になり、組織はこれらの攻撃の圧力に屈し続けている。幸いなことに、ランサムウェアの攻撃者が攻撃を成功させる主な方法には、「セキュリティ101」の実践における一般的な失敗が関わっている。私たちが協力し合えば、これらは修正することができる！それまでは、私たちセキュリティ実務者は、このような脅威にどのように対応すべきかを知っておく必要があります。あなたとあなたの組織は、何をどのように収集し、そのデータをどのように解析し、そのデータをどのように迅速かつ効率的に分析するかを知る必要がある。このようなことが、私たちのコースの目標です。
- Ryan Chapman
- DAY1
- DAY2
- DAY3
- DAY4
Ransomware Incident Response Fundamentals
概要
インシデント対応担当者のためのランサムウェア」コースは、ランサムウェアの歴史を振り返ることから始まります。最初に知られたランサムウェア攻撃の話から始まり、私たちの業界に立ちはだかる現在の脅威へと話を進めます。Human Operated Ransomware（HumOR）やRansomware-as-a-Service（RaaS）の出現により、私たちの生活はもちろんのこと、内側につながった生活も日々危険にさらされています。これらの脅威に関連する役割、プロセス、コミュニケーション方法、活動を深く掘り下げることで、ランサムウェアに対する理解が深まります。 そして、暗号化されそうな場合、現在暗号化されている場合、あるいは最近暗号化された場合 に何をすべきかを取り上げます。特に時間的な要件に注意を払いながら、連絡する必要のある企業、関与する必要のある部署、実施する必要のあるプロセスなど、取るべき行動を取り上げます！私たちが直面している真の脅威と、IRプラクティスを一般的にどのように適用できるかについて学んだ後、ランサムウェアキャンペーンの分析に最適なWindowsベースのフォレンジック成果物について深く掘り下げます。どのようなアーティファクトを収集すべきか、また、どのようなツールや方法が取得や解析に最適かを学びます。組織の準備レベルにかかわらず、分析を容易にするデータを取得するためにできることを説明します。単一マシンに対する直接取得のハンズオンアプローチを学び、その後、アットスケールでの取得と分析に移行します。詳細な実習では、各環境タイプに対応した分析方法を説明します。TimeSketchを使用して解析されたアーティファクトを分析し、ランサムウェアの脅威に対応するための簡単な方法とより高度な分析方法を確認します。
演習
- カスタマイズさ れた FOR528 Windowsおよび SIFT VMをインストールし、詳細なログレビューとマルウェア解析に必要な設定を行う。
- ランサムウェアの「ビルダー」を利用して、復号化ツールとともにカスタマイズされたランサムウェア暗号化ペイロードを生成します。生成したランサムウェアのペイロードを実行し、暗号化されたファイルを確認した後、復号化ツールを使用してデータを復号化します。
- アーチファクトをレビューし、トをレビューし、KAPEを使用してデータを解析します。を使用してデータを解析します。Timeline Explorerを使用して、マスターファイルテーブルを使用して、マスターファイルテーブル（（MFT）、システムリソース使用状況モニター（SRUM））、シェルバッグ、Shimcache、および、およびWindowsイベントログのアーチファクトに焦点を当てながら、KAPEを介して解析されたデータを確認します。
- TimeSketchインターフェイス内でデータをハントし、MFT、SRUM、Shellbags、Shimcache、および、およびWindowsイベントログの分析が、前のラボでの手動分析からアットスケール分析に移行する際に、どのようにスケールアップするかに焦点を当てる。
トピックス
- コースの仮想マシン
- 概要とセットアップ
- カスタムターゲットの被害者とそのネットワークのレビュー
- サマランプロテクト https://samaranpro.com
- カスタム攻撃シナリオの概要。私たちのラボとキャプチャーザフラッグは、これらの攻撃に基づいています。
- 「BlueLocker」ランサムウェアグループ
- 「Balrog」ランサムウェアグループ
- ランサムウェアの進化と歴史
- ランサムウェア攻撃を最初に認識する
- ロッカーとシングルマシン暗号化ペイロード
- 人間が操作するランサムウェア（HUMOR）
- ランサムウェアアズアサービス（RaaS）
- RaaSモデル、階層、役割モデル、階層、役割
- RaaSビルダーとジェネレータービルダーとジェネレーター
- RaaSダッシュボードダッシュボード
- アクセスブローカー（IAB）の設置
- アクセス方法
- ダークネットマーケットプレイス
- 被害者のアクセス：売買
- ランサムウェアの運営者
- グループの経年変化
- 恐喝の種類
- データ漏洩サイトと心理的圧力
- ダークウェブフォーラム通信
- フォレンジックアーティファクトの収集
- Kroll Artifact Parser and Extractor (KAPE)によって収集されたアーティファクトをレビューする。
- KAPEを使用して収集した成果物を処理/解析する。
- 解析されたアーティファクトの出力をレビューし、活用されたツールや方法論をよりよく理解する。
- インシデントレスポンスのプロセスとランサムウェアへの適用
- インシデントレスポンスへの動的アプローチ（DAIR）モデル
- 典型的なランサムウェアキャンペーンのフェーズ
- Windows Forensic Artifacts
- イベントログ、シェルバッグ、シムキャッシュ、SRUMなど
- SANS Windows Forensic Analysis ポスターのレビュー
- タイムラインエクスプローラーを使って、一般的な解析ツールで出力されたCSVファイルを解析する
- アーティファクトコレクションツール
- フォレンジックアーティファクトの収集
- スケール分析
- Velociraptorを使った大量収集
- Sysmonによるログ増強
- Log-MDによるログ監査レビュー
- ログアグリゲータ/SIEMとファイル名
- TimeSketch による大規模な分析
Ransomware Modus Operandi
概要
ランサムウェアのインシデントは特に特殊なものではありません。私たちインシデント・レスポンダーは、同じ戦術、技術、手順（TTP）を何度も目にします！
セクション2は、ランサムウェアやサイバー恐喝の調査を容易にするために有用なセカンダリ・ログ集約グラフィカル・ユーザー・インターフェースであるKibanaの実習から始まります。まず、初期アクセス、実行、防御回避、およびスクリプトエンジンの悪用について説明します。ほとんどのランサムウェアのケースでは、攻撃者がPowerShell、バッチスクリプト、JavaScript、Visual Basic Scriptingなどのスクリプトエンジンを活用しています。本日の序盤では、私たちが何度も目にしているさまざまなツールやスクリプトについて説明し、各ツールの概要とハントおよび検出のための詳細を説明します。次に、パーシステンス（永続性）について説明します。一般的なコマンド・アンド・コントロール（C2）メカニズム、リモート監視・管理（RMM）ソリューション、ランサムウェアのオペレータが環境へのアクセスを維持するために使用するWindowsネイティブの方法について学びます。
その後、敵対者のエミュレーションと攻撃シミュレーションツールであり、おそらくその仕事が「上手すぎる」ようになったCobalt Strike（CS）の詳細なレビューに軸足を移します。侵入テスト担当者やレッド・チームなど、世界中の多くのセキュリティ専門家がCSに依存しています。残念ながら、ランサムウェア攻撃の非常に高い割合で、この非常に強力な商用ツールが使用されています。このツールのインフラストラクチャ、自由に変更可能な C2 プロファイル、ペイロードの検出／難読化手法などについて学びます。このモジュールには、CSペイロードのデコードを学ぶ実習ラボが含まれています。
当社のトレーニングの多くは、分析手法を段階的に学ぶ実習で構成されています。インシデントレスポンスの分野で経験を積んだ方と経験の浅い方の両方が、ランサムウェアやサイバー恐喝のインシデントを最初から最後まで確実に対処できるようにすることを目的としています。
セクション2は、ランサムウェアやサイバー恐喝の調査を容易にするために有用なセカンダリ・ログ集約グラフィカル・ユーザー・インターフェースであるKibanaの実習から始まります。まず、初期アクセス、実行、防御回避、およびスクリプトエンジンの悪用について説明します。ほとんどのランサムウェアのケースでは、攻撃者がPowerShell、バッチスクリプト、JavaScript、Visual Basic Scriptingなどのスクリプトエンジンを活用しています。本日の序盤では、私たちが何度も目にしているさまざまなツールやスクリプトについて説明し、各ツールの概要とハントおよび検出のための詳細を説明します。次に、パーシステンス（永続性）について説明します。一般的なコマンド・アンド・コントロール（C2）メカニズム、リモート監視・管理（RMM）ソリューション、ランサムウェアのオペレータが環境へのアクセスを維持するために使用するWindowsネイティブの方法について学びます。
その後、敵対者のエミュレーションと攻撃シミュレーションツールであり、おそらくその仕事が「上手すぎる」ようになったCobalt Strike（CS）の詳細なレビューに軸足を移します。侵入テスト担当者やレッド・チームなど、世界中の多くのセキュリティ専門家がCSに依存しています。残念ながら、ランサムウェア攻撃の非常に高い割合で、この非常に強力な商用ツールが使用されています。このツールのインフラストラクチャ、自由に変更可能な C2 プロファイル、ペイロードの検出／難読化手法などについて学びます。このモジュールには、CSペイロードのデコードを学ぶ実習ラボが含まれています。
当社のトレーニングの多くは、分析手法を段階的に学ぶ実習で構成されています。インシデントレスポンスの分野で経験を積んだ方と経験の浅い方の両方が、ランサムウェアやサイバー恐喝のインシデントを最初から最後まで確実に対処できるようにすることを目的としています。
演習
- Elasticsearch, Logstash, Kibana (ELK)スタックに関連する最も一般的なインターフェイスの内部と外部を、以前のラボで習得したスキルを適応させながら学びます。
- 親プロセスとしてのMicrosoft Officeアプリケーション、Windowsでネイティブに開かれたZIPファイル、ZIPファイルのクレデンシャル読み取り操作、Outlookのファイルダウンロード/実行、Microsoft Trust Centerのレビューなどを介して、成功したフィッシング攻撃を特定する。
- エンコードされ難読化されたPowerShellペイロードの解析を学ぶ
- RDP、PsExec、WMI、Cobalt Strikeなどのメカニズムを介した横方向の動きを特定する。
トピックス
- Kibanaによるアットスケール分析
- ランサムウェア攻撃キャンペーンのフェーズ セクション 2：
- 初期アクセス
- 実行
- 防御回避
- 持続
- 初期アクセス
- 初期アクセス手法のトップ3： RDP、フィッシング、ソフトウェアの脆弱性
- フィッシング・ベクトル
- マルウェア感染とクレデンシャル・ハーベスティングの比較
- MalDocsのような悪意のある添付ファイル
- メールゲートウェイのファイルブロックリストのレビュー
- 悪意のあるリンクとその分析方法
- リモート・デスクトップ・プロトコル（RDP）
- 有用なWindowsイベントログ
- 悪意のあるRDPアクティビティの特定
- ソフトウェアの悪用／脆弱性
- ゼロデイと一般的な脆弱性と暴露（CVEs）の比較
- 標的とされ、悪用されている CVE の例
- ダークネット・フォーラムでの議論
- マルウェア・アズ・ア・サービス（MaaS）
- 実行と防御回避
- 脅威アクターのツール
- フリー・オープンソース（FOSS）
- ネイティブ・スクリプト・エンジン
- オフラインのバイナリとスクリプト（LOLBAS）
- 敵のエミュレーションのための商用ツール
- MaaS
- セキュリティ・サービス/メカニズム・バイパス手法
- ネイティブ実行手法
- Windows Management Instrumentation (WMI)攻撃
- スクリプトエンジンの悪用
- パワーシェル
- バッチスクリプト
- JavaScriptスクリプト
- Visual Basic スクリプト
- PowerShellロギングと高度な分析
- Windowsイベントログの関連付けと有効化
- PowerShellパラメータとその目的
- 永続性
- 一般的なC2手法
- リモート監視と管理（RMM）
- ポストエクスプロイトフレームワーク
- アカウント作成
- ブート/ログオン自動起動場所
- サービスのインストール
- スケジュールされたタスク
- WMIイベント・サブスクリプション
- コバルト・ストライク（CS）
- 脅威アクターのアクセスと利用
- CSアーキテクチャとコンポーネント
- 柔軟なC2プロファイル
- コマンドとチートシート
- 検知方法
- ペイロード解読ツールと方法
Advanced Ransomware Concepts
概要
セクション3は、特権のエスカレーション、クレデンシャル・アクセス、ラテラル・ムーブメントから始まります。ランサムウェアの攻撃者はどのようなツールを使ってマシンの特権を昇格させるのか？どのようにしてWindowsホストから保存されているクレデンシャルにアクセスするのでしょうか？どのようなプロセスがよくダンプされ、なぜ、どのようにダンプされるのでしょうか？横方向の移動については、RDP、SMB（特にPsExec）、WinRM、およびその他の方法が、被害者のネットワーク全体を移動するためにどのように使用されるかについて学びます。
マイクロソフトのActive Directory（AD）に対する攻撃を取り上げます。ランサムウェアの運営者はADを攻撃するのが大好きなので、ADの設定が不十分であることを利用して特権をエスカレートさせ、認証情報にアクセスするさまざまな方法を紹介します。
セクション3では、ランサムウェア攻撃のライフサイクルにおいて、より重要なセクションの1つである「データアクセスとデータ流出」を取り上げます。組織は通常、どのようなデータがアクセスされたのか、あるいは盗まれたのかを知りたがります。私たちは、これらの活動を促進するツールを狩る方法を含め、データのアーカイブとステージング方法をカバーしています。FTPが一般的な流出経路であることを信じられますか？どのようなデータが流出しているのかわからなくても、どのようにすれば流出したデータを検知できるのでしょうか？私たちはそれをお見せします！
その後、ランサムウェア攻撃の最終段階であるペイロードの展開と暗号化の内部構造に移ります。バックアップとリカバリーの改ざんについて、ランサムウェアの実行者がバックアップシステムを攻撃する方法とともに学びます。行為者がその痕跡を隠す方法は明白に見えるかもしれません！最後に、最も一般的なペイロードの展開方法に関する技術的な詳細を説明します。最後に、リネームされた実行可能ファイル、ディレクトリ分析による悪意のあるファイル／プロセスの特定、アンチウイルスログ分析による一般的な攻撃など、ハンティング手法を取り上げます。ここでは、組織を監視するための最善の方法を紹介します。
演習
- RDP や PsExec などのメカニズムを介した横方向の動きを特定します。
- NTFSメタデータ（NTFS、UsnJrnlなど）のハントとピボット、取得したアーティファクトの手動解析、タイムラインエクスプローラー、TimeSketch、Kibanaにより、データアクセスと流出の可能性をハントし、特定する。
- PSTools、リネームされた実行可能ファイル、共通ディレクトリなどを検出するハンティング手法により、脅威行為者のツールボックスを検出します。
- WMI、Cobalt Strikeなどの追加的な横の動きを特定します。
トピックス
- ランサムウェア攻撃キャンペーンのフェーズ セクション 3：
- 特権の昇格
- クレデンシャルアクセス
- 横方向への移動
- ADに対する攻撃
- データ・アクセス
- データ流出
- ペイロードの展開
- 特権の昇格とクレデンシャル・アクセス
- よく狙われるアカウント
- アカウントが標的とされる方法
- ユーザー・アカウント制御（UAC）のバイパス手法
- ローカル・セキュリティ権限サーバー・サービス（LSASS）へのアクセスとダンピング
- NTDS.dit攻撃
- 代替認証情報攻撃
- ブラウザやパスワード管理ツールに保存されたパスワードへの攻撃
- セッション・スニッファーとエクストラクター
- よく見られるオールインワン・ソリューション（WinPwnなど）
- 横の動き
- RDPおよびRDPキャッシュビットマップ解析
- サーバー・メッセージ・ブロック（SMB）の横移動
- 名前付きパイプの使用率とサービス・インストールとの関係
- シスインターナル PsExec
- Windowsリモート管理（WinRM）
- ESXiに対する攻撃
- AD攻撃
- AD列挙
- ブラッドハウンドとシャープハウンド
- ケルベロースティング
- AS-REP焙煎
- DCSync攻撃
- ゴールデンチケット攻撃
- データ・アクセス
- 報告および法的考慮事項
- ネットワーク共有の列挙とアクセス
- 削除されたファイルとファイルの知識
- ファイルとフォルダへのアクセス
- レジストリ分析
- ツール固有の分析
- データ流出
- アーカイブ作成
- データステージング
- .txtファイルと.csvファイルの作成と使用
- データ流出経路
- ネットワークログとNetFlowのレビュー
- バックアップとリカバリーの改ざん
- ボリュームシャドウサービス攻撃
- ブート構成データ、Windowsブートステータスポリシー、Windowsバックアップ攻撃
- イベントログの消去
- ペイロードの展開
- 一般的な配備ツールと方法
- PsExecによるデプロイメント
- WMIC経由での展開
- BITSによる配備
- 暗号化と復号化
- 暗号化キーの種類
- 上書きとコピー／削除の暗号化方法
- 身代金のメモ
- 暗号化機構のソースコードレビュー
- 復号機
- ランサムウェア運営者を狩る。特定するテクニック：
- 悪意のあるRDP接続
- プロセス名とパスの異常
- 不正な実行ファイル
- PowerShellでエンコードされたコマンド
- アンチウイルスのログにおける悪意のある活動
- 環境変数に関わる悪質な行為
Ransomware Incident Response Challenge
概要
ランサムウェアインシデントに対応するための準備として、経験以上のものはありません。ランサムウェアの感染経路から、環境内で実行される暗号化ペイロードに至るまで、ランサムウェアのインシデントを分析します。このCTFチャレンジでは、ランサムウェアの感染経路から、環境内で実行される暗号化ペイロードに至るまで、インシデントを分析します。私たちは、Samaran Protectという被害者組織を作成しました。私たちのCTFチャレンジは、被害者の組織に対する特別に作成された攻撃シナリオに関する70以上の質問で構成されています。ターゲットとなる被害者のネットワークには、3 つの VLAN を持つ 16 台のホストが含まれています：
これらの攻撃を実行するために、私たちは2つの異なるランサムウェアグループを考案しました。各グループは、現在稼働しているランサムウェア脅威グループの集合体です。活用した戦術、技術、手順（TTP）は、ランサムウェアイベントに対応する人々が日々目にする現実世界のシナリオを反映したものです。各シナリオに関与する行為者は、異なる侵入方法、クレデンシャル・アクセス方法、ツール、展開方法、暗号化ペイロードを使用します。
さらに、各シナリオは異なるタイプの環境を模倣している：被害者である組織がインシデント対応に役立つフォレンジックデータを意図的に収集していない場合と、被害者が十分な手段を講じ、何事にも備えている場合である。あなたの組織が、インシデント発生後にすべてのアーティファクトの収集と解析を開始する必要がある場合でも、データロギングを強化して本格的なSIEMを活用する場合でも、キャップストーンで取り上げた方法は、あなたの組織の方法と能力に関連付けるのに役立ちます。
演習
- 解析されたフォレンジック・アーチファクトとログを丸一日かけて分析し、2つの個別のシナリオを使用して、あらゆるランサムウェアインシデントで一般的な質問に答えます。
- SANSの新しいプラットフォーム「ranges.io」を活用。
シナリオ2：「Balrog」ランサムウェア
トピックス
- デジタル・フォレンジック・キャップストーン
- 分析
- TimeSketchを使用して、シナリオ1の解析された成果物とログデータをレビューする。
- 分析
-
-
- Windowsのイベントログ、シスモンデータ、プログラム実行の成果物、レジストリのハイブファイルなどを調査します。
- 最初の感染ベクターから暗号化ペイロードの展開と実行に至るまで、脅威行為者の行動を追跡する。
- 各攻撃キャンペーンの各主要フェーズで使用されるツール、スクリプト、戦術、プロセスを特定する。
-
- ランサムウェアの発生後、すべての組織が回答を求める以下のような質問にお答えします：
- 俳優たちはどのようにしてネットワークに入ったのですか？
- 俳優たちはどのようなデータにアクセスできたのか？
- 行為者はデータを盗む（＝流出させる）ことができたのか？
- 暗号化ペイロードそのものを含め、キャンペーン全体によって影響を受けたシステムは？
- そしてもっと！
