k2-ornata（個人的「やってみたこと」ブログ）

前回、ATT&CK活用の１回目を書いてみました。

そして前回の続きで、今回は第４位（出現数：８８）に入っている以下のテクニックについて調べてみた。

T1105 Ingress Tool Transfer
（侵入ツールの送り込み）

すると、ATT&CKのDETECTIONには以下の記載がある。

この中から「DS0029 Network Traffic」のそれぞれについて検索してみると、以下の通り書かれている。

Network Connection Creation
Monitor for newly constructed network connections that are sent or received by untrusted hosts or creating files on-system may be suspicious. Use of utilities, such as FTP, that does not normally occur may also be suspicious.

Network Traffic Content
Monitor network traffic content for files and other potentially malicious content, especially data coming in from abnormal/unknown domain and IPs.

Network Traffic Flow
Monitor network data for uncommon data flows (e.g., a client sending significantly more data than it receives from a server). Processes utilizing the network that do not normally have network communication or have never been seen before are suspicious.

これらの検知について、SIEMに検知ルールが実装されているか調べてみた。

検索条件としては「ATT&CK Technique：T1105」と「Data Sources：Network Communication」としてみた。

すると以下のとおり２つヒットした。

Spike in SMB Traffic

こちらはルールも見えますね。

サンプルデータも入ってました。

Suspicious Network Connectionの方。

こっちはUBA機能がないとだめっぽい。

ATT&CKを使って、特定のグループのテクニックを調べ、それを検知できるようにすることも考えられる。

しかしながら、その企業がどの攻撃グループに狙われるか、事前に想定するには難しいし、常に同じグループから狙われるとも限らない。

そこで、ATT&CKの中から、特に多く使われているテクニックから焦点をあてて監視実装をしていくのが適切と考える。

たとえば、最近のテクニックのトレンドはNECさんが定期的に以下のようにまとめていたりする。

NECセキュリティブログ
MITRE ATT&CK 頻出手口 トップ10 Vol.3（2022年5月版）
https://jpn.nec.com/cybersecurity/blog/220527/index.html

これをまず、ATT&CKにマッピングしてみる。

これをみると一番多く利用されているテクニックは以下になっており、出現数は152回のようだ。

T1059 Command and Scripting Interpreter
（コマンドとスクリプトインタプリタ）

これをATT&CKで調べてみよう。

すると以下のように大きく４つの検知方法が示されている。

この中からさらに「Command Execution」を見てみる。

すると「T1548 Abuse Elevation Control Mechanism」や「T1087 Account Discovery」など、攻撃のフェーズは異なるが、いろいろなコマンド実行があることがわかる。

さらに、「T1548 Abuse Elevation Control Mechanism」の中から「T1548.002 Bypass User Account Control」を見てみよう。

すると、ページの中にところどころ、「eventvwr.exe」や「sdclt.exe」などのコマンドがかかれている。

このコマンドを調べてみると、以下のサイトなどで調べてみると、どうやらこれらのコマンドには、権限昇格時にユーザーに確認することなく権限昇格を行うことが可能な設定がなされているようです。

UAC回避機能を複数搭載したランサムウェア「HkCrypt」
https://www.mbsd.jp/blog/20171012.html

この検知を実装しているSIEMがあったので参考に載せておく。