あなたを標的にしている攻撃者に対して利点を得る方法があります。それは、正しい考えや何が効果的であるかを知ることから始まります。

インシデントレスポンダは最新のツールを持って、企業内のスキャン技術やメモリ解析技術などを駆使して、侵害を検知し、敵を追跡して封じ込め、発生したインシデントを修復しなければなりません。そのため、インシデントレスポンスとフォレンジックのアナリストは、検査の範囲を通常の単一システムから1,000もしくはそれ以上に拡大しなければなりません。何千ものシステムを徘徊するAPT攻撃集団や犯罪組織による標的型攻撃を追跡するため、企業内スキャンは今や必須要件になっています。これは、フォレンジック調査の手順でも一般的に言われている「ハードドライブを抜く」ということでは判らない情報を引き出すものですが、敵に検知された事実が伝わり、すぐに機密情報を盗まれ脱出されてしまいます。

このコースではF-Response Enterprise Editionの6ヶ月ライセンスを受け取り、ワークステーションまたはSIFTワークステーションを使用して企業内の数百または数千のシステムに接続することができます。この機能は、レスポンダが企業全体の脆弱性の指標を探すことを可能にする新しいインシデント対応テクノロジのベンチマーク、容易化、およびデモンストレーションに使用されます。

演習

• SIFT Workstation 3オリエンテーション
• SIFT Workstationによるドライブのマウント（リモート、ローカル）
• サイバースレットインテリジェンス - インジケータの作成と検査
• マルウェアの自動起動と永続性分析
• F-Response Enterpriseによるリモートエンタープライズ環境のメモリイメージ取得
• F-Response Enterpriseによるリモートエンタープライズ環境に対するインシデントレスポンスと分析

トピック

Real Incident Response Tactics

• Preparation: Key tools, techniques, and procedures that an incident response team needs to respond properly to intrusions
• Identification/Scoping: Proper scoping of an incident and detecting all compromised systems in the enterprise
• Containment/Intelligence Development: Restricting access, monitoring, and learning about the adversary in order to develop threat intelligence
• Eradication/Remediation: Determining and executing key steps that must be taken to help stop the current incident
• Recovery: Recording of the threat intelligence to be used in the event of a similar adversary returning to the enterprise
• Avoiding "Whack-A-Mole" Incident Response: Going beyond immediate eradication without proper incident scoping/containment

Threat Hunting

• Hunting versus Reactive Response
• Intelligence-Driven Incident Response
• Building a Continuous Incident Response/Threat Hunting Capability
• Forensic Analysis versus Threat Hunting
• Threat Hunt Team Roles

Cyber Threat Intelligence

• Importance of Cyber Threat Intelligence
• Understanding the "Kill Chain"
• Threat Intelligence Creation and Use During Incident Response and Threat Hunting
• Creation of Indicators of Compromise
• Incident Response Team Life-Cycle Overview

Threat Hunting in the Enterprise

• Identification of Compromised Systems
• Finding Active and Dormant Malware
• Digitally Signed Malware
• Malware Characteristics
• Common Hiding Mechanisms
• Finding Evil by Understanding Normal
• Understanding Common Windows Services and Processes
• svchost.exe Abuse

Malware Persistence Identification

• AutoStart Locations
• Service Creation/Replacement
• Service Failure Recovery
• Scheduled Tasks
• DLL Hijacking
• WMI Event Consumers
• More Advanced - Local Group Policy, MS Office Add-In, or BIOS Flashing

Remote and Enterprise Incident Response

• Remote System Access in the Enterprise
• Remote System Host-based Analysis
• Scalable Host-based Analysis (one analyst examining 1,000 systems) and Data Stacking
• Remote Memory Analysis

侵入している間にメモリ解析を行うと、不正行為が行われているように感じることがあります。アクティブなマルウェアを見つけることは簡単なことではありません。

高度な攻撃を検知することは多くのインシデントレスポンスチームにとって最大の関心事です。メモリフォレンジックは、わずか数年の間に格段の進歩を遂げ、APT攻撃集団が使用するワーム、ルートキット、高度なマルウェアの検知率も高くなってきています。この分野は、長らくWindows内部に精通したエキスパート達の独壇場でしたが、現在では最新のツールによる優れたインタフェースとドキュメント、そして組み込みのヒューリスティックエンジンが改善され、誰でも実行可能なように活用の場が広がりました。

このセクションでは、最新のフリーツールを紹介し、メモリフォレンジック分野の基礎を固めます。加えて、インシデントレスポンスとフォレンジックの武器となる先進的な技術を身につけ、コアスキルを構築します。

演習

• エンタープライズ環境にある複数システムのメモリから、未知のカスタムマルウェア（活動中／休止中）を検出する
• マルウェアが攻撃者とコマンド＆コントロール（C2）チャネルの通信をするために利用する、一般ポートのAPTビーコンを探す
• メモリ上の文字列検索やバッファ履歴から残っているコマンドラインを探す
• ベースラインシステムに対して侵害されたシステムメモリを比較する
• コードインジェクションとルートキットを含む高度なマルウェア隠蔽手法を特定する
• マルウェア感染したシステムのメモリイメージを分析する
  • Stuxnet
  • TDL3/ TDSS
  • Zeus/Zbot
  • Conficker
  • Sobig
  • StormWorm Rootkit
  • Black Energy
  • PsExec
  • Custom APT command and control malware

トピック

Memory Acquisition

• Acquisition of System Memory from both Windows 32/64 Bit Systems
• Hibernation and Pagefile Memory Extraction and Conversion
• Virtual Machine Memory Acquisition

Memory Forensics Analysis Process for Response and Hunting

• Identify Rogue Processes
• Analyze Process DLLs and Handles
• Review Network Artifacts
• Look for Evidence of Code Injection
• Check for Signs of a Rootkit
• Acquire Suspicious Processes and Drivers

Memory Forensics Examinations

• Live Memory Forensics
• Memory Analysis Techniques with Redline
• Advanced Memory Analysis with Volatility
• Code Injection, Malware, and Rootkit Hunting in Memory
• Perform In-memory Windows Registry Examinations
• Extract Typed Adversary Command Lines
• Investigate Windows Services
• Hunting Malware Using Comparison Baseline Systems
• Find and Dump Cached Files from RAM
• Dumping Hashes and Credentials from Memory

Memory Analysis Tools

• Rekall
• Volatility
• Redline
• MoonSols Windows Memory Toolkit

攻撃者はいい加減であり、どこにでも足跡を残します。最高のハンターの秘密を学んでください。

サイバーディフェンダーには、ネットワーク内の敵の活動を特定、捜索、追跡するためのさまざまなツール類が用意されています。各攻撃者の行動は対応するアーティファクトとして証跡（フットプリント）として残されており、予測可能な攻撃パターンに対して調査を集中することが各チームメンバーに求められます。一例として、ある時点で、攻撃者はその目的を達成するためにコードを実行する必要があります。このアクティビティは、アプリケーション実行アーティファクトによって識別できます。攻撃者はコードを実行するために1つまたは複数のアカウントも必要となります。したがって、アカウント監査は悪意のある操作を識別する強力な手段となります。攻撃者はネットワーク全体に移動する手段も必要とするため、私たちはミッションのこの部分を達成するための比較的少数の方法によって残された証跡を探します。このセクションでは、一般的な攻撃者のスパイ活動の技術について説明し、エンタープライズ内の悪意のあるアクティビティを識別するために使用できる様々なデータソースとフォレンジックツールについて解説します。

演習

• Shimcacheから実行の痕跡を検出する
• Shimcacheメモリ(RAM)検査
• メモリと未割り当て領域（unallocated space）からプリフェッチを特定・検出する
• 最近使ったファイルのキャッシュおよびボリュームシャドーコピーから悪意ある行動を見つける
• イベントログ分析を行い横展開して追跡する
• イベントログの抽出・分析から資格情報の乱用を発見する

トピック

Advanced Evidence of Execution Detection

• Application Compatibility Cache
• Prefetch and Shimcache Extraction via Memory
• RecentFileCache
• Amcache

Window Shadow Volume Copy Analysis

• Volume Shadow Copy Analysis Options
• Raw and Live Shadow Copy Examination Using the SIFT Workstation
• Integrating Shadow Copy Analysis into Investigations
• Targeted Shadow Copy Analysis

Lateral Movement Adversary Tactics, Techniques, and Procedures (TTPs)

• Stealing and Utilization of Legitimate Credentials
• Compromising Credentials Techniques
• Remote Desktop Services Misuse
• Windows Admin Shares Abuse
• PsExec Utilization
• Windows Remote Management Tool Techniques
• PowerShell Remoting/WMIC Hacking
• Vulnerability Exploitation

Event Log Analysis for Incident Responders and Hunters

• Profiling Account Usage
• Tracking and Hunting Lateral Movement
• Identifying Suspicious Services
• Detecting Rogue Application Installation
• Finding Malware Execution and Process Tracking
• Capturing Command Lines and Scripts
• Anti-Forensics and Event Log Clearing

タイムライン解析は、デジタルフォレンジック脅威のハンティング及びインシデントなどへの対応方法に変革をもたらします。

タイムライン解析を知れば、今までのデジタルフォレンジックとインシデントレスポンスのやり方が劇的に変わるでしょう。スパイ活動に対するタイムライン解析の先駆者から直接学ぶことで、その高度な解析技術を知ることができます。

一時データは、コンピュータシステムのありとあらゆる所に存在しています。ログファイル、ネットワークデータ、レジストリ、インターネット履歴ファイルなども、そのような一時ファイルの一例です。ファイルシステムにはMACタイム（モディファイ／アクセス／クリエイト）がその全てのデータに記録されており、それらを相関分析することで事件の究明に一歩近づくことができます。2001年にRob Leeがこの分析手法を開拓して以来、タイムライン解析は複雑な事件を解決する強力な調査手法として使用されてきました。新しいタイムライン解析のフレームワークでは、いくつもの時間ベースの解析を同時に処理することができます。これにより解析に費やす時間が1日から数分に短縮することができ、強力な調査手法としての立場を不動のものとしています。

このセクションでは、複雑なインシデントとフォレンジック事例においてタイムラインを作り、それぞれ解析する2つの手法について順に見ていきます。演習では、タイムラインの作成方法だけではなく、受講者が実際に経験した事例などを題材として、より効果的な分析につなげるための方法を紹介します。

演習

• タイムライン解析を通して、APTグループの攻撃の始まりとスピアフィッシングはどのように行われだしたのかを識別する
• APTグループがネットワークに侵入しアクセス権を維持するのに利用した、隠蔽や時刻改ざんが行われているマルウェアやユーティリティをターゲットに解析する
• スーパータイムライン解析を通して、APT攻撃の挙動を秒単位で追跡する
• ファイルシステムのタイムスタンプやその他一時的に残されるアーティファクトといった証跡を見ていくことで、エンタープライズ環境のシステムがどのように侵害され横展開されたのかを観察する
• 効率的に目的のデータを見つけるため、タイムライン上のシステムアーティファクト、ファイルシステム、レジストリをフィルタする方法を学ぶ

トピック

Timeline Analysis Overview

• Timeline Benefits
• Prerequisite Knowledge
• Finding the Pivot Point
• Timeline Context Clues
• Timeline Analysis Process

Memory Analysis Timeline Creation

• Memory Timelining

Filesystem Timeline Creation and Analysis

• MACB Meaning by Filesystem
• Windows Time Rules (File Copy vs. File Move)
• Filesystem Timeline Creation Using Sleuthkit and fls
• Bodyfile Analysis and Filtering Using the mactime Tool

Super Timeline Creation and Analysis

• Super Timeline Artifact Rules
• Program Execution, File Knowledge, File Opening, File Deletion
• Timeline Creation with log2timeline/Plaso
• log2timeline Input Modules
• log2timeline Output Modules
• Filtering the Super Timeline Using l2t_process
• Targeted Super Timeline Creation
• Automated Super Timeline Creation
• Super Timeline Analysis
• Volume Shadow Copy Timelining

先進的な攻撃は優れていますが、私たちはその上に立つ必要があります。

優秀な敵に対して、私達は彼らを上回る能力を身に付けなければなりません。

長年に渡り、多くのインシデントレスポンダは侵害の痕跡に関する指標（IOC）を使用せず、効率的ではない方法でマルウェアを検知しようとしていました。一方で敵であるインテリジェンス達は、システムを侵害するために結束を強めています。この傾向はAPTグループの攻撃では特に顕著です。

本セクションでは、ファーストレスポンダに必要なテクニックである、マルウェアの検知やシステムに隠れているどんな小さな情報でもフォレンジックの証拠として抽出するテクニックについてデモンストレーションを行います。その後、システムに隠れ込もうとする悪意あるマルウェアを見逃している可能性が無いか、デモンストレーションしたテクニックについて議論していきます。

演習

• 活動中／休止中のマルウェアを追跡し、エンタープライズ環境全体から未知のマルウェアを探す
• 標的型攻撃でどのシステムに横展開されたのかを特定し、システムからシステムへ検知を回避してどのように横展開したのかを解明する
• 標的にされた環境のドメインアドミン権限を、どのようにAPTグループが奪取したのか把握する

トピック

Evolution of Incident Response Scripting

• WMIC
• PowerShell
• Incident Response Triage Investigations with PowerShell

Malware and Anti-Forensic Detection

• NTFS Filesystem Analysis
  • Master File Table (MFT) Critical Areas
  • NTFS System Files
  • NTFS Metadata Attributes ($Standard_Information, $Filename, $Data)
  • Rules of Windows Timestamps for $StdInfo and $Filename
  • NTFS Timestamps
  • Resident versus Nonresident Files
  • Alternate Data Streams
  • Directory Listings and the $I30 file
  • Transaction Logging and the $Logfile and $UsnJrnl
  • What Happens When Data Is Deleted from an NTFS Filesystem?

Anti-Forensic Detection Methodologies

• MFT Anomalies
• Timeline Anomalies
• Deleted File
• Deleted Registry Keys
• File Wiping
• Adjusting Timestamps

Identifying Compromised Hosts without Active Malware

• Rapid Data Triage Analysis
• Cyber Threat Intelligence and Indicators of Compromise Searching
• Evidence of Persistence
• Super-timeline Examination
• Packing/Entropy/Executable Anomaly/Density Checks
• System Logs
• Memory Analysis
• Malware Identification

APTのような攻撃のシミュレーションを行い、本コースで学んだデジタルフォレンジック、ネットワークフォレンジックなどの知識を総動員して学習成果を確認します。シミュレーション環境では、複数のWindowsで構成される企業環境を模したシステムが侵害されているという状況が付与されます。受講生は、最初にどのようにシステムが侵害されたかを検出し、続いて他のシステムへ侵入した形跡を見つけ、最終的にデータ抽出によって知的財産が盗まれたことを証明するという、実践形式の訓練を通じて、その能力を競います。このシナリオは、実際にAPT組織などによる先進的な攻撃への対応に取り組んできた経験を持つ人物によってまとめられたものです。

本チャレンジでは、チームに分かれてネットワーク内の複数システムを解析します。チャレンジの最中に、実際と同じく幾つかキーとなる質問に対して回答して頂きます。

トピック

• The Intrusion Forensic Challenge will ask each incident response team to analyze multiple systems in an enterprise network.
• During the challenge, each incident response team will be asked to answer key questions and address critical issues in the different categories listed below, just as they would during a real breach in their organizations:

IDENTIFICATION AND SCOPING:

1. How and when did the APT group breach our network?
2. List all compromised systems by IP address and specific evidence of compromise.
3. When and how did the attackers first laterally move to each system?

CONTAINMENT AND THREAT INTELLIGENCE GATHERING:

1. How and when did the attackers obtain domain administrator credentials?
2. Once on other systems, what did the attackers look for on each system?
3. Find extracted email from executive accounts and perform damage assessment.
4. Determine what was stolen: Recover any .rar files or other archives exfiltrated, find encoding passwords, and extract the contents to verify extracted data.
5. Collect and list all malware used in the attack.
6. Develop and present security intelligence or an indicator of compromise for the APT-group "beacon" malware for both host- and network-based enterprise scoping. What specific indicators exist for the use of this malware?

REMEDIATION AND RECOVERY

1. Do we need to change the passwords for every user in the domain or just the ones affected by the systems compromised?
2. Based on the attacker techniques and tools discovered during the incident, what are the recommended steps to remediate and recover from this incident?
1. What systems need to be rebuilt?
2. What IP addresses need to be blocked?
3. What countermeasures should we deploy to slow or stop these attackers if they come back?
4. What recommendations would you make to detect these intruders in our network again?