WHY DON'T YOU DO YOUR BEST!!
SOARへのログイン連携や、SOARからのユーザ情報問い合わせの為に、MacにインストールしたParalleles Desktop上にWindows Server 2019をインストールし、その上にActive Directory機能をセットアップしてみました。
SOARのAD連携用のインテグレーションと連携させるには、Windows Server 2019上に最低限、以下の機能を構築する必要があることがわかりました。
・Active Directory ドメインサービスのインストール
・DNSサービスのインストール
・AD上でのドメインユーザの作成
・DNSサービスでの前方参照ゾーンの設定（DNSをADと一緒に作成すると自動的に作成される。）
・DNSサービスでの逆引き参照ゾーンの設定
SOARと連携させる際の認証ユーザを以下の通り作成しました。
題名の通り、Mac OS上の Parallels Desktopに Windows Server 2019をインストールし、ADドメインサービスの機能追加をしようとしたところ、何度トライしてもインストールに失敗しました。
その後、いろいろ試したところ、Parallels Desktopの設定から、Mac – Windows間のファイル/アプリ共有の残らず無効にしたところ、正常にADドメインサービスがインストールできるようになったので、ここに記録しておきます。
以下のように無事、ADドメインサービスの機能追加ができました。
ChatGPT に以下の相談をしたところ、かなり的確に答えが返ってきたので、その回答も踏まえて対応方法を検討してみました。
SentinelでService PrincipalのPrivilege Escalationアラートが出た場合、誤検知かどうか判断する為に何を調べればいいですか？
以下、ChatGPTの答えとその考察です。
ChatGPTの答え： ターゲットのService Principalのアクティビティログを調べて、アラートが発生した時刻の前後のログを確認します。これにより、アラートが発生した原因を特定できる場合があります。
おそらく「Service Principalのアクティビティログ」とは「Azure Active Directory の監査ログ」のことを指しているのだと思います。
下記の「Azure Active Directory の監査ログ」のサイトを見ると、アプリケーション中心のビューを使用すると、「アプリケーションのサービス プリンシパルは変更されたか」に対する答えを得ることができると書かれています。
Azure Active Directory の監査ログ https://learn.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/concept-audit-logs
ChatGPTの答え： Service Principalに与えられたアクセス許可を確認し、アクセス許可が不適切なものがないかを確認します。アクセス許可の削除または変更が必要な場合は、それに従って対応を行います。
「アクセス許可が不適切なもの」とは、必要以上に権限が与えられていないか確認する、ということだと思います。
ChatGPTの答え： Service Principalの構成を確認して、異常があるかどうかを確認します。Service Principalの設定が不適切である場合は、それに従って対応を行います。
うーん、「Service Principalの構成」とはなんだろう？という感じですが、Step.2の「アクセス許可の削除または変更が必要な場合は、それに従って対応を行います。」と同義かなと思っています。
ChatGPTの答え： ターゲットサービスプリンシパルに対する不正なアクセスを防ぐために、ファイアウォールやセキュリティグループのログを調べて、アクセスがあったかどうかを確認します。
「ファイアウォールやセキュリティグループのログを調べて」とありますが、これは「Service Principal」によってファイアウォールやセキュリティグループ（ネットワークセキュリティグループ？）に変更が加えられていないか確認する、という意味じゃないかと思っています。
また実際にあやしいIPからアクセスがきていないかどうかも調べましょう、ということかなと思います。
ChatGPTにまた質問すれば、この疑問にも答えてくれるのかな？
ちなみに最初、Service Principalってなんだろう？って感じだったのですが、以下の「SIOS TECH.LAB」さんのページにわかりやすく書かれており、大変参考になりました。
SIOS TECH.LAB https://tech-lab.sios.jp/archives/23371
色々な企業でVPNの脆弱性から社内ネットワークに侵入されている事例を見るにつれ、自分の家のルータは大丈夫かと心配しておりました。
そんな中、横浜国立大学さんの方からルータのセキュリティをチェックしてくれるサービスがあると聞き、さっそく試してみました。
DDoSを引き起こしてしまうようなマルウェアに感染していないかチェックするには、以下のサイトから３つの項目を入力して「感染診断をはじめる」のボタンを押すだけです。
am I infected? https://amii.ynu.codes/
【入力項目】
・自分のメールアドレス（ここに検査結果がメールされる）
・現在の環境をプルダウンメニューから選択（自宅のルータかどうかなど）
・このサイトを知ったきっかけをプルダウンメニューから選択する
感染チェックが完了すると、先ほど入力した自分のメールアドレスに届きます。
たしかWebには５分くらいかかりますと書いてあったと思いますが、実際には２〜３分くらいでメールが届きました。
２．で届いたメールに書かれているリンクをクリックすると診断結果を確認できます。
我が家のルータは幸いにも安全な状態でした。ファームアップの連絡が届いたらすぐに適用しているので、それが幸いしているかもしれませんね。
みなさんも１度といわず、定期的にチェックしてみるといいと思いますよ。
今年の10月くらいにアーカイブされたInfoSecurity Professional Magazineのクイズを実施したところ、CPE ポイントがいくら待っても自動登録されませんでした。
そこでISC2に問い合わせをおこなったところ、以下の通り回答があり、最新号以外は自動登録されなくなっているようです。
恐縮ではございますがシステムの変更により、 過去のInfoSecurity Professional MagazineクイズのCPEは自動で 登録されなくなり、最新号のみ自動的に付与されます。 ご自身で登録される際は、Online webinars, podcasts and other online materials をご選択いただくと良いと思います。 最新版のInfoSecurity Professional QuizによるCPE付与については 数週間ほどで反映されるかと存じます。
もし最近、過去のInfoSecurity Professional Magazineクイズを実施してCPEポイントが付与されているか確認していない人は、一度チェックしてみた方が良いと思います。
前回、ATT&CK活用の１回目を書いてみました。
そして前回の続きで、今回は第４位（出現数：８８）に入っている以下のテクニックについて調べてみた。
T1105 Ingress Tool Transfer （侵入ツールの送り込み）
すると、ATT&CKのDETECTIONには以下の記載がある。
この中から「DS0029 Network Traffic」のそれぞれについて検索してみると、以下の通り書かれている。
Network Connection Creation
Monitor for newly constructed network connections that are sent or received by untrusted hosts or creating files on-system may be suspicious. Use of utilities, such as FTP, that does not normally occur may also be suspicious.
Network Traffic Content
Monitor network traffic content for files and other potentially malicious content, especially data coming in from abnormal/unknown domain and IPs.
Network Traffic Flow
Monitor network data for uncommon data flows (e.g., a client sending significantly more data than it receives from a server). Processes utilizing the network that do not normally have network communication or have never been seen before are suspicious.
これらの検知について、SIEMに検知ルールが実装されているか調べてみた。
検索条件としては「ATT&CK Technique：T1105」と「Data Sources：Network Communication」としてみた。
すると以下のとおり２つヒットした。
Spike in SMB Traffic
こちらはルールも見えますね。
サンプルデータも入ってました。
Suspicious Network Connectionの方。
こっちはUBA機能がないとだめっぽい。
ATT&CKを使って、特定のグループのテクニックを調べ、それを検知できるようにすることも考えられる。
しかしながら、その企業がどの攻撃グループに狙われるか、事前に想定するには難しいし、常に同じグループから狙われるとも限らない。
そこで、ATT&CKの中から、特に多く使われているテクニックから焦点をあてて監視実装をしていくのが適切と考える。
たとえば、最近のテクニックのトレンドはNECさんが定期的に以下のようにまとめていたりする。
NECセキュリティブログ MITRE ATT&CK 頻出手口 トップ10 Vol.3（2022年5月版） https://jpn.nec.com/cybersecurity/blog/220527/index.html
これをまず、ATT&CKにマッピングしてみる。
これをみると一番多く利用されているテクニックは以下になっており、出現数は152回のようだ。
T1059 Command and Scripting Interpreter （コマンドとスクリプトインタプリタ）
これをATT&CKで調べてみよう。
すると以下のように大きく４つの検知方法が示されている。
この中からさらに「Command Execution」を見てみる。
すると「T1548 Abuse Elevation Control Mechanism」や「T1087 Account Discovery」など、攻撃のフェーズは異なるが、いろいろなコマンド実行があることがわかる。
さらに、「T1548 Abuse Elevation Control Mechanism」の中から「T1548.002 Bypass User Account Control」を見てみよう。
すると、ページの中にところどころ、「eventvwr.exe」や「sdclt.exe」などのコマンドがかかれている。
このコマンドを調べてみると、以下のサイトなどで調べてみると、どうやらこれらのコマンドには、権限昇格時にユーザーに確認することなく権限昇格を行うことが可能な設定がなされているようです。
UAC回避機能を複数搭載したランサムウェア「HkCrypt」 https://www.mbsd.jp/blog/20171012.html
この検知を実装しているSIEMがあったので参考に載せておく。
ふとYouTubeをみていたら Pellucid というヘットライトのクリーナー＆コーティング剤がとてもよい（特にコーティング剤の方）という動画がありました。
そこでWebなどでも調べてみたところ、他の人の評価も高かったので、思い切って買ってみることにしました。（といっても1,000円をすこしオーバーするくらいですが。）
パッケージの中身は以下の通りで、
・ヘットライトを磨く（研磨ではないらしい）ための粘土
・コーティング剤
・コーティング剤をヘッドライトに塗るためのスポンジ
と、使い方が書いてあるマニュアル１枚でした。
そして本日、ヘッドライトのクリーニングにチャレンジしてみました。
なお、パッケージには４分でできるとかいてあり、実施にやってみるとかなり簡単ではありましたが、まあ、全体で２０分くらいはみておいた方がいいかなと思いました。
まず、粘土で磨く前に、ヘッドライトを水洗いします。
やはり上部を中心にこまかな傷などが入って曇っています。駐車場の位置的に西日をかなりおおく受けているのも影響しているかもしれません。
ヘッドライトを水洗いしたら、付属の粘土で磨きます。
ロードスターのヘッドライトはまわりがすべてボディーフレームで囲まれているので、サンドペーパーだと少し気を使いそうですが、粘土の場合、少々ボディーに触れても擦れている感じはないので、気にせず際まで磨くことができました。
実際に磨いた後は以下の通りです。粘土で磨くと粘土の白いものがヘッドライトにつきますが、それをかるく濡れたタオルで水拭きしました。
Youtube や Webでは、この粘土はあまり意味がないという話が多くきかれましたが、私が実際に使ってみた感じ、わずかながら効果があり、くすみが多少とれた気がしました。
粘土側にも結構よごれがついていましたね。
なお、この粘土、磨いた後の汚れをとれば、何度でも使えそうです。使っているうちにちょっと曲がってしまいましたが。
そして最後にボトルにはいったコーティング剤を付属のスポンジにつけて、ヘッドライトに塗り付けます。
あまり何回も同じところを塗り付けない方がよいとのことでしたので、なるべく上から横方向に同じところをなぞらないように塗っていきました。
実際にやってみるとおもったより簡単でしたね。
実際に塗った直後が以下の通りです。うわさどおり、このコーティング、塗った直後はすばらしくクリアに仕上がりました。（太陽もちょうどあたって、光り輝いております。）
まあ、塗りたてはクリアに見えるものなので、夕方までまってみて、どれくらいこのクリアさが保てているか、再度確認してみたいと思います。
前回、特定の攻撃集団の攻撃テクニックを確認する基本的なATT&CK Navigatorの使い方を確認してみました。
そこで今回は複数の攻撃集団の攻撃テクニックを重ねて表示する（色塗りする）方法を記載しておきます。
なお、この方法は、先に色塗りした攻撃グループの攻撃テクニックが、後で色塗りした攻撃グループのテクニックで塗り潰されてしまうので、注意してください。
まず１つ目の攻撃集団 BlackTech のテクニックを検索します。
検索窓から攻撃集団の名前を入れると「Threat Group」に検索にヒットした集団の名前が表示されるので、その中の「select」ボタンを押します。
その後で、下図のように好きな色をカラーパレットから選べば、その色で攻撃集団のテクニックが色塗りされます。（下図の場合は赤色）
色塗りをした後は「deselect」で選択を解除しておきます。
１．と同じ要領でLazarus Groupの攻撃テクニックを色塗りします。
Kimsukyについても同様に行います。
このように攻撃集団のテクニック毎に色を分けて塗りつぶすことができました。
ただし、今回の方法では、先に述べたように先に色塗りした攻撃集団のテクニックが後に色塗りした攻撃集団のテクニックで上書きされてしまいます。
もっとよい方法が無いか、もう少し調べてみたいと思います。
諸事情によりMITER ATT&CKを利用して、特定の攻撃集団が得意な攻撃テクニックを抽出する方法が知りたくなったので、実際にATT&CK Navigatorを使って操作してみました。
下記のMITERのサイトにアクセスします。
https://attack.mitre.org/matrices/enterprise/
すると、以下のようなサイトが表示されるので、右上にある「View on the ATT&CK® Navigator」のリンクをクリックします。
以下の画面が表示されたら、「Create New Layer」から企業向けと思われる「Enterprise」を選択してみます。
すると、ATT&CK Navigatorが表示されます。
ATT&CK Navigatorが表示されたら、上のツールバーの虫めがねマークをクリックし、検索窓から攻撃グループを指定します。
ここでは、台湾や日本を狙った中国の攻撃集団と言われている「BlackTech」を指定しています。
すると、「Threat Groups」の中に「BlackTech」が表示されるので、そこにマウスのカーソルを当てると、その攻撃集団が利用すると思われるテクニックはハイライトされます。
さらに、漏斗のアイコンをクリックすると、OSの種類やオンプレ/クラウドなどの環境を絞ったテクニックのみ表示させることも可能です。
なお、最近トレンドマイクロが発表していた「主な標的型攻撃集団」を確認してみたところ、以下のようになっていました。
| 攻撃集団 | ATT&CK Navigatorでの検索可否 |
| BlackTech（ブラックテック）中国が拠点 | ○ |
| Earth Tengshe（アーステンシェ）（≒APT10？なら中国が支援していると言われている） | ×（APT10（menuPass）なら○） |
| LODEINFO（ロードインフォ）（≒APT10？なら中国が支援していると言われている） | ×（APT10（menuPass）なら○） |
| Lazarus Group（ラザルス）北朝鮮が拠点 | ○ |
| Kimsuky（キムスキー）北朝鮮が拠点 | ○ |
私の調べ方が悪い可能性や別の名前で登録されている可能性がありますが、すべての攻撃集団が登録されているわけではなさそうです。
新しい攻撃集団が出た場合は、その全容を調べるのに少し時間がかかるのかもしれませんね。
＜参考サイト＞
・日本を狙う標的型攻撃に立ち向かうために、知っておくべき5つのこと（トレンドマイクロ）
https://www.trendmicro.com/ja_jp/jp-security/22/e/securitytrend-20220510.html#3
・MITRE ATT&CK徹底活用（＠IT）
https://atmarkit.itmedia.co.jp/ait/articles/2209/08/news004.html