コンテンツにスキップ

クロスアーティファクトワークフロー

いかなるアーティファクトも、単独で重要な結論をもたらすべきではありません。これらのワークフローは、リードを防御可能な一連の証拠に変える方法を示しています。

不審な実行可能ファイルの実行

  1. Prefetch: は、保持される実行時間、パス/ハッシュ コンテキスト、実行回数、およびロードされたファイルを確立します。
  2. $MFT: は、パス、サイズ、タイムスタンプ、ADS、削除された状態、および MFT 参照を検索します。
  3. USN ジャーナル: は、作成、書き込み、名前変更、および削除を再構築します。
  4. Amcache: は、SHA-1、PE メタデータ、バージョン、および履歴パスを追加します。
  5. ShimCache: 互換性キャッシュのパス/順序とサポートされる実行フラグを追加します。
  6. SRUM: 同じ実行可能ファイル/ユーザーによるリソース/ネットワークの使用を探します。
  7. Defender: 隔離時間、元のパス、ハッシュ、ダウンロード元を確認します。
  8. イベント ログ/EDR: は、プロセスの親、コマンド ライン、アカウント、ネットワーク、およびセキュリティ コンテキストを識別します。

結論としては、ファイルの存在、実行、および個人または侵入によるものを区別する必要があります。

ランサムウェア ファイル アクティビティ

  1. $MFT で暗号化された拡張機能と被害パスを特定します。
  2. USN の理由と順序を使用して、一括書き込み/名前変更/削除を再構築します。
  3. Prefetch を使用して、暗号化候補と実行時間を特定します。
  4. 候補プロセスによる CPU/ディスク/ネットワーク スパイクには SRUM を使用します。
  5. サービスと TaskCache の展開/永続性を確認します。
  6. 検出/修復については、Defender 隔離ログとイベント ログを確認してください。

MFT/USN は、実行アーティファクトが残っていない場合でも、ファイル システムへの影響を証明できます。通常、プロセス テレメトリや相関関係がなければ、責任のあるプロセスを特定することはできません。

悪意のあるドキュメント/ショートカットの初期アクセス

  1. RecentDocs と Jump Lists は、ユーザー/アプリケーションの対話と MRU コンテキストを識別します。
  2. 一致する Recent フォルダー LNK を解析して、ターゲット、ボリューム/共有、MFT 参照、および引数を調べます。
  3. オリジン URL/ゾーンには、$MFT 常駐 ADS または Defender コンテンツの Zone.Identifier を使用します。
  4. ドキュメント アプリケーションと子プロセスには、Prefetch/イベント ログを使用します。
  5. USN/MFT を使用して、抽出されたペイロードの作成と削除を追跡します。

サービスの永続性

  1. サービス名、ImagePath、ServiceDll、アカウント、開始タイプ、および失敗アクションをデコードします。
  2. 環境変数と引用符付き/引用符なしのパスの動作を解決します。
  3. $MFT および USN 履歴で実行可能ファイル /DLL を見つけます。
  4. 実際のサービス/プロセスの開始については、Prefetch とイベント ログを確認してください。
  5. 現在ではないコントロール セットと以前の構成の復元されたレジストリ レコードを比較します。

スケジュールされたタスクの永続性

  1. TaskCache アクション、プリンシパル/コンテキスト、登録/ランタイム メタデータ、および非表示状態をデコードします。
  2. C:\Windows\System32\Tasks XML と比較してください。
  3. タスク名/GUID をセキュリティおよびタスク スケジューラの操作イベントと関連付けます。
  4. 実行可能ファイル/スクリプトを見つけてハッシュします。 Prefetch とファイル システムの履歴を検査します。
  5. タスクが削除された場合は、削除された TaskCache レコードを回復します。

流出の疑い

  1. SRUM を使用して、アプリ/ユーザー/プロファイルと測定期間によって送信された異常なバイトを特定します。
  2. Prefetch、Amcache、および $MFT で実行可能ファイルのアイデンティティを確認します。
  3. Jump Lists、LNK、RecentDocs、およびevent/EDRデータを通じてアクセス/開かれたファイルを特定します。
  4. 宛先/プロトコルにはプロキシ、ファイアウォール、DNS、パケット、または EDR テレメトリを使用します。

SRUM ボリュームは流出の仮説をサポートしていますが、転送されたコンテンツをそれ自体で識別したり、悪意のある意図を証明したりすることはありません。

保存する価値のある相関キー

キー アーティファクト
フルパス/ファイル名 ほぼすべてのアーティファクト
SHA-1 / SHA-256 Amcache、Defender、回復されたファイル
MFT エントリ + シーケンス $MFT, Prefetch, LNK, Jump Lists, USN
USN Amcache、$MFT、USN ジャーナル
ボリュームシリアル / ドロイド Prefetch、LNK、Jump Lists、MFT オブジェクト ID
SID / ユーザー名 SRUM、SAM、レジストリ、イベント ログ
タスク GUID / タスク名 TaskCache、タスク XML、イベント ログ
サービス名 サービス、イベント ログ、プロセス/ドライバー データ
Defender EntryId / ScanId 隔離、Defender履歴、イベントログ