Aurora Managed Endpoint Defense 保護の強化

いくつかの新しい脅威により、Aurora Managed Endpoint Defense は以下の Aurora Focus ルールを実装しました。これにより、アナリストのセキュリティテレメトリが向上します。これらのルールは既に有効になっており、お客様の組織からさらなるアクションは必要ありません。

最新の機能強化

脅威または脆弱性

説明

safeboot引数を使用したBCDEditの高度な検出のための更新されたルール
  • ルール名: "Bcdedit Safeboot Modified"
  • MITRE技法: T1562, T1562.009
  • 説明: この検出ルールは、bcdeditコマンドがsafeboot引数で実行されたインスタンスを識別します。BCDEditはブートコンフィギュレーションデータ(BCD)を管理するためのコマンドラインツールです。攻撃者は、safeboot引数を使用してシステムをセーフモードに再起動し、アンチウイルスやエンドポイント検出ツールなどのセキュリティ制御を無効にする可能性があります。これらのツールはセーフモードで動作しないかもしれません。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE

dsqueryコマンドの高度な検出のための更新されたルール
  • ルール名: "Dsquery Command Execution"
  • MITRE技法: T1087, T1087.002, T1482, T1082, T1018
  • 説明: このルールはdsqueryコマンドの使用を検出します。このコマンドラインユーティリティを使用して、ホストからActive Directory(AD)をクエリできます。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE

暗号化操作に関連する疑わしいプロセス起動の高度な検出のための更新されたルール
  • ルール名: "Suspicious Cryptographic Activity"
  • MITRE技法: T1027, T1055, T1486, T1573, T1573.001
  • 説明: このルールは、AESなどの暗号化操作に関連する疑わしいプロセス起動を検出します。これはSolarMarkerおよびLumaマルウェアによってよく悪用されます。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Squiblydoo

認証情報ダンピングのためのgsecdump実行の高度な検出のための更新されたルール
  • ルール名: "Credential Dumping via gsecdump"
  • MITRE技法: T1003, T1003.001, T1003.002, T1003.004
  • 説明: このルールはgsecdumpの実行を検出します。gsecdumpはWindowsシステム上の認証情報ダンピング用ツールです。認証情報ダンピングは、パスワードハッシュ、平文のパスワード、またはオペレーティングシステムから他の認証トークンを抽出することです。gsecdumpの実行は、ローカルセキュリティオーソリティサブシステムサービス(LSASS)およびセキュリティアカウントマネージャー(SAM)データベースを含むさまざまな認証情報ストレージ位置をターゲットにすることができます。このルールでは誤検知の可能性が低くなります。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE および Red Canary
  • 追加日: 2025年2月

PowerShellを使用したbase64エンコードされたBitstransferダウンロードの高度な検出のための更新されたルール
  • ルール名: "Base64 Encoded PowerShell Execution of Bitstransfer"
  • MITRE技法: T1059, T1059.001, T1105, T1071, T1197
  • 説明: このルールはPowerShell経由のbase64エンコードされたBitstransferダウンロードの実行を検出します。攻撃者は、悪意のあるペイロードをダウンロードして検出を回避するために、PowerShell Bitstransferダウンロードコマンドを難読化します。誤検知はまれですが、正当なシステム管理ツールとスクリプトから発生する可能性があります。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2025年2月

PowerShellを使用したbase64エンコードされたSystem.Net.Webclientクラス呼び出しの高度な検出のための更新されたルール
  • ルール名: "Base64 Encoded PowerShell Execution of .NET Webclient"
  • MITRE技法: T1059, T1059.001, T1105, T1071
  • 説明: このルールはPowerShell経由のbase64エンコードされたSystem.Net.Webclientクラス呼び出しの使用を検出します。攻撃者はSystem.Net.Webclientを使用して悪意のあるペイロードをダウンロードします。誤検知はまれですが、正当なシステム管理ツールとスクリプトから発生する可能性があります。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2025年2月

PowerShellを使用したbase64エンコードされたInvoke-Restmethodコマンドの高度な検出のための更新されたルール
  • ルール名: "Base64 Encoded PowerShell Execution of Invoke-Restmethod"
  • MITRE技法: T1059, T1059.001, T1105, T1071
  • 説明: このルールはPowerShell経由のbase64エンコードされたInvoke-Restmethodコマンドの実行を検出します。攻撃者はInvoke-Restmethodを使用して悪意のあるペイロードをダウンロードします。誤検知はまれですが、正当なシステム管理ツールとスクリプトから発生する可能性があります。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2025年2月

PowerShellを使用したbase64エンコードされたInvoke-Webrequestコマンドの高度な検出のための更新されたルール
  • ルール名: "Base64 Encoded PowerShell Execution of Invoke-Webrequest"
  • MITRE技法: T1059, T1059.001, T1105, T1071
  • 説明: このルールはPowerShell経由のbase64エンコードされたInvoke-Webrequestコマンドの実行を検出します。攻撃者はInvoke-Webrequestを使用して悪意のあるペイロードをダウンロードします。誤検知はまれですが、正当なシステム管理ツールとスクリプトから発生する可能性があります。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2025年2月

包括的なUACバイパスの高度な検出のための更新されたルール
  • ルール名: "Comprehensive UAC Bypass Detection"
  • MITRE技法: T1548, T1548.002, T1112, T1059, T1059.001
  • 説明: このルールはレジストリの変更とPowerShellコマンドを通じたUACバイパス試行を検出します。これは特定のレジストリキー、DelegateExecute、およびPowerShellベースの操作の監視を組み合わせています。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Splunk および Sevagas
  • 追加日: 2025年1月

PowerShellコマンド実行を使用したAMSIバイパスの高度な検出のための更新されたルール
  • ルール名: "AMSI Bypass PowerShell Command Execution"
  • MITRE技法: T1059, T1059.001, T1562, T1562.001
  • 説明: このルールはamsiInitFailedをtrueに設定するか、HKLM\Software\Microsoft\AMSIのレジストリキーを削除することにより、PowerShell経由のAMSIバイパスを検出します。Windows Anti-malware Scan Interface(AMSI)は、アプリケーションとサービスがデバイス上に存在するすべてのアンチマルウェア製品と統合できる汎用インターフェース標準です。AMSIはエンドユーザーとそのデータ、アプリケーション、ワークロードのためのマルウェア保護を強化しています。攻撃者はAMSIを無効にして、マルウェア、ツール、活動の検出の可能性を回避します。誤検知の可能性は低いです。
  • ルールタイプ: 高度な検出
  • プラットフォーム: Windows
  • 追加リファレンス: Red Canary (AMSI InitFailed) および Red Canary (Remove AMSI Provider Reg Key)
  • 追加日: 2025年1月