以前のAurora Managed Endpoint Defense保護の強化

新たな脅威の出現により、Aurora Managed Endpoint Defenseは分析者向けのセキュリティとテレメトリを改善するために次のAurora Focusルールを実装しました。これらのルールは既に有効であり、お客様の組織からのさらなるアクションは不要です。最新のAurora Managed Endpoint Defenseルールについては、Aurora Managed Endpoint Defense 保護の強化を参照してください。

脅威または脆弱性

説明

Windows Defenderの除外がPowerShell経由で追加されたことの高度な検出のための更新ルール
  • ルール名: "Powershell経由で追加されたWindows Defender除外"
  • MITRE技法: T1562、T1562.001、T1059.001、T1059
  • 説明: このルールはWindows Defender設定に追加されたファイルまたはフォルダの除外を検出します。これはWindows Defenderを改ざんして活動を隠すか検出を回避しようとする試みの可能性があります。
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2024年11月

標準RDPポート変更の高度な検出のための更新ルール
  • ルール名: "標準RDPポート変更"
  • MITRE技法: T1021、T1021.001、T1571
  • 説明: このルールはRDPサービスとポート変更の使用を検出します。リモートデスクトップはオペレーティングシステムの一般的な機能です。これにより、ユーザーはリモートシステム上のシステムデスクトップグラフィカルユーザーインターフェースでインタラクティブセッションにログインできます。これは攻撃者がログオンユーザーとしてアクションを実行するために使用できます。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年8月

GUARD: Svchost作成の8文字一時ファイルの高度な検出のための更新ルール
  • ルール名: "GUARD: Svchost作成の8文字一時ファイル"
  • MITRE技法: T1003、T1003.002
  • 説明: このルールはsvchost経由でWindowsシステムディレクトリ内（例：Windows/System32およびTemp）に作成される一時ファイルを検出します。このような活動はシステム上で実行または永続化しようとしている潜在的なマルウェアまたは不正なソフトウェアを示すことがよくあります。
  • プラットフォーム: Windows
  • 追加参照: Red Canary
  • 追加日: 2024年8月

Aurora Protectの疑わしい終了の高度な検出のための更新ルール
  • ルール名: "Aurora Protect疑わしい終了"
  • MITRE手法: T1562、T1562.001、T1489
  • 説明: このルールはcylancesvc.exeプロセスに関連する疑わしい終了イベントを検出します。Aurora Protectはおそらく予期しないエラーコードで終了しています。攻撃者はセキュリティツールのスキャンと彼らのマルウェア/ツールと活動の検出に干渉するためにセキュリティツールを無効にするか終了する場合があります。
  • プラットフォーム: Windows
  • 追加日: 2024年8月

Aurora Protectのtaskkill.exe経由の疑わしい終了の高度な検出のための更新ルール
  • ルール名: "Aurora Protecttaskkill.exe経由の疑わしい終了"
  • MITRE手法: T1562、T1562.001、T1489
  • 説明: このルールはtaskkill.exeの実行を通じてcylancesvc.exeプロセスに関連する疑わしい終了イベントを検出します。攻撃者はセキュリティツールのスキャンと彼らのマルウェア/ツールと活動の検出に干渉するためにセキュリティツールを無効にするか終了する場合があります。
  • プラットフォーム: Windows
  • 追加日: 2024年8月

Powershell Windowsスクリプトホストによるスケジュール設定されたタスク作成の高度な検出のための更新ルール
  • ルール名: "Powershell Windowsスクリプトホストによるスケジュール設定されたタスク作成"
  • MITRE技法: T1053、T1053.005、T1059、T1059.001、T1059.007
  • 説明: このルールは疑わしいJavaScript/JScriptファイルによって実行されたPowershell経由のスケジュール設定されたタスクの作成を検出します。この攻撃チェーンは非常に疑わしく、GootLoaderアクティビティの兆候でもあります。
  • プラットフォーム: Windows
  • 追加参照: BlackBerry Blogs、Red Canary
  • 追加日: 2024年6月

svchost作成の8文字一時ファイル実行の高度な検出のための更新ルール
  • ルール名: "Svchost作成の8文字一時ファイル"
  • MITRE技法: T1074、T1074.001
  • 説明: このルールはsvchost経由でWindows/System32やTempなどの重要なWindowsシステムディレクトリ内に作成される一時ファイルを検出します。このような活動はシステム上で実行または永続化しようとしている潜在的なマルウェアまたは不正なソフトウェアを示すことがよくあります。
  • プラットフォーム: Windows
  • 追加参照: Clearsky、Microsoft
  • 追加日: 2024年6月

PowerShell EmpireからのStagerペイロード実行の高度な検出のための更新ルール
  • ルール名: "PowerShell Empire StagerペイロードのExecution"
  • MITRE技法: T1059、T1059.001、T1071、T1071.001
  • 説明: このルールはPowershell Empireコマンドおよび制御アクティビティに関連するStagerの実行を検出します。ルールは/admin/get.php、/admin/news.php、および/login/process.phpなどの一般的に使用されるWebリクエストに注目します。PowerShell EmpireはセキュリティプロとハッカーがPowershellスクリプトを通じて侵害されたシステムへの遠隔アクセスと制御を容易にするために使用するポスト搾取フレームワークです。
  • プラットフォーム: Windows
  • 追加リファレンス: Red Team Notes
  • 追加日: 2024年5月

Csvde.exeエクスポートコマンドの高度な検出のための更新ルール
  • ルール名: "Csvde.exeエクスポートコマンド"
  • MITRE技法: T1087、T1069、T1018、T1087.002、T1119
  • 説明: このルールはCsvde.exeを使用したデータエクスポートの使用を検出します。攻撃者はIPアドレス、ホスト名、またはネットワーク上の他の論理識別子によって他のシステムのリストを取得しようとする場合があり、現在のシステムからラテラルムーブメントに使用される可能性があります。クラウド環境は通常、ユーザーリストを取得するための容易にアクセス可能なインターフェースを提供します。ホスト上では、攻撃者はコマンドライン機能を使用してアカウントを特定できます。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年5月

SecretsDumpを使用したNTDS、SAMまたはLSAからのローカル認証情報ダンプの高度な検出のための更新ルール
  • ルール名: "SecretsDump経由のNTDS、SAMまたはLSAからのローカル認証情報ダンプ"
  • MITRE技法: T1003、T1003.002、T1003.003、T1003.004、T1059、T1059.006
  • 説明: 攻撃者はNTDSファイル（%SystemRoot%\NTDS\Ntds.dit）またはセキュリティアカウントマネージャ（SAM）データベースとローカルセキュリティオーソリティ（LSA）シークレットを格納するWindowsレジストリハイブから認証情報を盗もうとする場合があります。このルールはsecretsdump.pyというツールの使用を検出します。このツールはNTDS.ditファイル、SAM、およびエクスポートされたレジストリハイブからのLSAシークレットからドメインハッシュなどの認証情報をローカルにダンプするために使用できます。
  • プラットフォーム: Windows
  • 追加参照: Hacker Recipes NTDS、Hacker Recipes SAM & LSA
  • 追加日: 2024年5月

レジストリハイブからのリモート認証情報ダンプの高度な検出のための更新ルール
  • ルール名: "レジストリハイブからのリモート認証情報ダンプ"
  • MITRE技法: T1003、T1003.002
  • 説明: このルールはLogon Type 3イベント、「Remote Registry Service」の開始、および8文字の.tmpファイルの作成を検出します。これらはレジストリからの認証情報ダンプの指標です。脅威アクターはimpacketなどのツールを使用してレジストリハイブをリモートクエリし、SAMおよびSYSTEMハイブをメモリにダンプし、C2サーバーに流出させることができます。ユーザーログインアクティビティと内部/外部ホストへのネットワーク接続を検証して、アクティビティが悪意のあるかどうかを判断します。
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2024年5月

サービス列挙によるシステム情報検出の強化された調査のための更新ルール
  • ルール名: "サービス列挙によるシステム情報検出"
  • MITRE技法: T1082、T1007
  • 説明: このルールは「tasklist /svc」または「net start」の非管理者ユーザーによる登録済みローカルシステムサービスの使用を検出します。攻撃者はツールおよびOSユーティリティコマンドを使用してサービスに関する情報を取得できます。攻撃者はコマンドを使用してシステム上のサービスのリストを取得できます。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年4月

ntdsutil.exeを使用したドメインデータベース（パスワードハッシュを含む）の抽出の高度な検出のための更新ルール
  • ルール名: "ntdsutil.exe経由で抽出されたドメインデータベース（パスワードハッシュを含む）"
  • MITRE技法: T1003、T1003.003
  • 説明: 攻撃者は認証情報を盗むためにActive Directory（AD）ドメインデータベースにアクセスするか、コピーを作成しようとする場合があり、デバイス、ユーザー、グループ、アクセス権などのドメインメンバーに関する他の情報も取得できます。デフォルトでは、NTDSファイルはドメインコントローラーの%SystemRoot%\NTDS\Ntds.ditにあります。このルールはビルトインのWindowsツールntdsutil.exeを使用してADドメインデータベースのコピーを抽出することを検出します（これはドメインのすべてのユーザーのパスワードハッシュを含みます）。ハッシュはその後ホストから流出し、オフラインでのブルートフォース攻撃に使用される場合があります。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年4月

ブラウザブックマークの列挙の高度な検出のための更新ルール
  • ルール名: "ブラウザブックマークの列挙"
  • MITRE技法: T1217、T1555、T1555.003
  • 説明: このルールはWebブラウザブックマークデータベースファイルの列挙または検出を検出します。攻撃者は侵害されたホストに関する詳細情報を発見するためにブラウザブックマークを列挙できます。ブラウザブックマークはユーザーの個人情報と内部ネットワークリソースに関する情報を表示できます。
  • プラットフォーム: Linux
  • 追加リファレンス: MITRE
  • 追加日: 2024年4月

Windows Defenderレジストリキー変更の高度な検出のための更新ルール
  • ルール名: "Windows Defenderレジストリキー変更"
  • MITRE技法: T1562、T1562.001、T1112
  • 説明: このルールはWindows Defenderレジストリキーの変更を検出します。これはセキュリティツールを無効にするか変更するために使用される場合があります。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年4月

dscl経由のアカウントまたはグループ検出の強化された調査のための更新ルール
  • ルール名: "dscl経由のアカウントまたはグループ検出"
  • MITRE技法: T1069.002、T1087、T1087.001、T1087.002
  • 説明: このルールは、MITREの手法T1087およびT1069に従って、アカウントまたはグループの検出の証拠を検出します。
  • プラットフォーム: macOS
  • 追加リファレンス: MITRE T1087, MITRE T1069
  • 追加日: 2024年4月

Windowsコマンドラインを通じたファイルおよびディレクトリの検出の強化された調査のための更新ルール
  • ルール名: 「Cmdを介したファイルおよびディレクトリの検出」
  • MITRE手法: T1083
  • 説明: このルールは、Windowsコマンドライン(cmd)を通じたファイルおよびディレクトリの検出を検出します。攻撃者は、ファイルおよびディレクトリを列挙するか、ホストまたはネットワーク共有の特定の場所でファイルシステム内の特定の情報を検索する場合があります。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年4月

ScreenConnect認証バイパス脆弱性CVE-2024-1709の高度な検出のための更新ルール
  • ルール名: 「ScreenConnect認証バイパス脆弱性CVE-2024-1709」
  • MITRE手法: T1556
  • 説明: このルールは、CVE-2024-1709の悪用の成功に関連する潜在的な活動を検出します。
  • プラットフォーム: Windows
  • 追加リファレンス: Huntress
  • 追加日: 2024年4月

コンパイル済みHTML(.chm)ファイルを介したペイロード作成の高度な検出のための更新ルール
  • ルール名: 「コンパイル済みHTML(CHM)ファイルを介したペイロード作成」
  • MITRE手法: T1218、T1218.001
  • 説明: このルールは、HTMLヘルプ実行可能プログラム(hh.exe)によって読み込まれたコンパイル済みHTMLファイル(.chm)を介して、スクリプトまたは実行可能ファイルのような可能なペイロードの作成を検出します。CHMファイルはHTMLドキュメント、画像、VBA、JScript、Java、ActiveXなどのスクリプト/ウェブ関連のプログラミング言語を含むさまざまなコンテンツの圧縮コンパイルです。攻撃者はCHMファイルを悪用して悪意のあるコードを隠蔽する可能性があります。正規のソフトウェアがCHMファイルを実行する場合があります。
  • プラットフォーム: Windows
  • 追加リファレンス: Lookout
  • 追加日: 2024年3月(更新)

Appdata\Local\Tempディレクトリからのペイロード実行の高度な検出のための更新ルール
  • ルール名: 「Appdata Local Tempディレクトリからのペイロード実行」
  • MITRE手法: T1059、T1059.003
  • 説明: このルールは、Windowsコマンドシェル(cmd.exe)を介してAppData\Local\Tempディレクトリからスクリプトと実行可能ファイルの実行を検出します。正規のソフトウェアがこのディレクトリから実行されることも一般的です。脅威アクターによって武器化されているかどうかを判断するには、スクリプトまたは実行可能ファイルの分析が必要です。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年3月

net.exeを介したWindows Defenderサービス停止の高度な検出のための更新ルール
  • ルール名: 「net.exeを介したWindows Defenderサービス停止」
  • MITRE手法: T1562、T1562.001、T1489
  • 説明: このルールは、net.exeを使用してWindows Defenderサービスが終了されたかどうかを検出します。攻撃者はマルウェアツールと活動の検出を回避するために、セキュリティツールを変更および/または無効にする可能性があります。これは、セキュリティソフトウェアプロセスまたはサービスの終了など、多くの形式を取ることができます。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年3月

ポート転送SSHTunnelコマンド実行の高度な検出のための更新ルール
  • ルール名: 「ポート転送SSHTunnelコマンド実行」
  • MITRE手法: T1572、T1021、T1021.004
  • 説明: このルールは、-Nおよび-Rフラグを使用してSSHが実行されるときを検出します。これらの引数は、SSHTunnelを介してC2サーバーへのポート転送を作成するために使用されます。攻撃者は、検出またはネットワークフィルタリングを回避するため、および/または到達できない他のシステムへのアクセスを有効にするために、被害者システムから/へのネットワーク通信を別のプロトコル内にトンネルする場合があります。誤検知を判断するには、アウトバウンドIPアドレスを分析する必要があります。
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2024年3月

Windows Defenderアンチウイルスエンジンをデフォルト設定に復元されたことの高度な検出のための更新ルール
  • ルール名: 「Windows Defenderアンチウイルスエンジンをデフォルトに復元」
  • MITRE手法: T1562、T1562.001
  • 説明: このルールは、Windows Defenderを元のデフォルト設定に復元しようとする試みを検出します。攻撃者はマルウェアツールと活動の検出を回避するために、セキュリティツールを変更および/または無効にする可能性があります。攻撃者はまた、セキュリティツールによって展開および利用されるアーティファクトを改ざんする可能性があります。
  • プラットフォーム: Windows
  • 追加リファレンス: MITRE
  • 追加日: 2024年3月

難読化されたBashhistory削除の高度な検出のための更新ルール
  • ルール名: 「Bashhistory削除」
  • MITRE手法: T1070、T1070.003
  • 説明: このルールは、ユーザーがコマンドラインで入力したコマンドを追跡するbash_historyファイルの削除を検出します。攻撃者は、侵入中に実施されたアクションを隠蔽するために、侵害されたアカウントのコマンド履歴をクリアする可能性があります。
  • プラットフォーム: macOS
  • 追加リファレンス: MITRE
  • 追加日: 2024年3月

Bashhistory変更と削除の高度な検出のための更新ルール
  • ルール名: 「Bashhistory変更と削除」
  • MITRE手法: T1552、T1552.003、T1070、T1070.003
  • 説明: このルールは、bash_historyファイルの変更または削除を検出します。Bashは、'history'ユーティリティを使用して、ユーザーがコマンドラインで入力したコマンドを追跡します。ユーザーはしばしばプログラムのパラメータとしてコマンドラインにユーザー名とパスワードを入力し、ログアウト時にこのファイルに保存されます。攻撃者はこのファイルを調べて潜在的な認証情報を探すことでこれを悪用できます。
  • プラットフォーム: macOS
  • 追加日: 2023年11月

重要なCylanceバイナリが移動されたことの高度な検出のための更新ルール
  • ルール名: 「重要なCylanceバイナリが移動」
  • 説明: このルールは、CyOptics.exe、CylanceSvc.exe、およびCyProtect.exeが別のディレクトリに移動されるときを検出します。攻撃者はCylanceファイルを移動してCylance保護をバイパスし、マルウェア、ツール、および活動の検出を回避しようとする可能性があります。誤検知はファイルバックアップおよび同期ソフトウェアで発生する可能性があります。
  • プラットフォーム: Windows
  • 追加日: 2023年11月

コンパイル済みHTML(.chm)ファイルを介したプロセス実行の高度な検出のための更新ルール
  • ルール名: 「コンパイル済みHTML(CHM)ファイルを介したプロセス実行」
  • 説明: このルールは、HTMLヘルプ実行可能プログラム(hh.exe)によって読み込まれたコンパイル済みHTMLファイル(.chm)を介したプロセスの実行を検出します。CHMファイルはHTMLドキュメント、画像、VBA、JScript、Java、ActiveXなどのスクリプトまたはウェブ関連のプログラミング言語を含むさまざまなコンテンツの圧縮コンパイルです。攻撃者はCHMファイルを悪用して悪意のあるコードを隠蔽する可能性があります。正規のソフトウェアがCHMファイルを実行する場合があります。
  • プラットフォーム: Windows
  • 追加リファレンス: Lookout
  • 追加日: 2023年11月

スケジュール済みタスクを介してSvchostがRundll32を起動したことの高度な検出のための更新ルール
  • ルール名: 「SvchostスケジュールタスクはRundll32を起動」
  • MITRE手法: T1053.005、T1218.011
  • 説明: このルールは、スケジュール済みタスクを介してrundll32.exeの実行を検出します。攻撃者はWindowsタスクスケジューラを悪用して、悪意のあるrundll32悪用の初期実行または定期的な実行のためのタスクスケジューリングを実行する可能性があります。誤検知は正規のソフトウェアとWindowsサービスで発生する可能性があります。
  • プラットフォーム: Windows
  • 追加リファレンス: Medium
  • 追加日: 2023年11月

アクセシビリティ機能のデバッガレジストリ値変更の高度な検出のための更新ルール
  • ルール名: 「アクセシビリティ機能のデバッガレジストリ値変更」
  • 説明: このルールは、Windowsアクセシビリティ機能のレジストリ値が別のプログラムをデバッガとして起動するように変更されるときを検出します。Windowsには、ユーザーがWindowsログイン画面にいる場合など、ユーザーがログインする前にキーの組み合わせで起動される可能性があるアクセシビリティ機能が含まれています。攻撃者は、これらのプログラムを起動する方法を変更して、システムにログインせずにコマンドプロンプトまたはバックドアを取得できます。これは、Image File Execution Options(IFEO)を使用することで実行できます。これにより、開発者はアプリケーション実行可能ファイルへの呼び出しをインターセプトするために使用できるアプリケーションにデバッガをアタッチできます。レジストリにデバッガとしてリストされているプログラムが正当にデバッガであるかどうかの検証はないため、悪意のあるアクターはこれを活用して、特定のアプリケーション(たとえば、sethc.exe)が実行されるときに任意のペイロードを実行できます。
  • プラットフォーム: Windows
  • 追加リファレンス: Red Team Notes
  • 追加日: 2023年11月

PowerShellを介して実行される難読化されたBase64デコード方法の高度な検出のための更新ルール
  • ルール名: 「PowerShellを介して実行される難読化されたBase64デコード方法」
  • MITRE手法: T1059.001、T1027.010
  • 説明: このルールは、PowerShellペイロード内の難読化された「frombase64string」メソッドの実行を検出します。攻撃者は文字列を逆にして難読化してこのメソッドを難読化することで検出を回避できます。この手法はBatCloakエンジンから生成されたマルウェアに最も一般的に関連付けられています。誤検知が発生する可能性は低いです。影響を判断するには、コマンドラインの難読化解除が必要です。
  • プラットフォーム: Windows
  • 追加リファレンス: SANS
  • 追加日: 2023年11月

fodhelper.exe活動を介したUACバイパスの高度な検出のための更新ルール
  • ルール名: 「Fodhelper.exeを介したUACバイパス」
  • MITRE手法: T1548.002
  • 説明: このルールは、PowerShellを使用してfodhelper.exeのレジストリキーを変更することでUACをバイパスする権限昇格技術を検出します。攻撃者はこのバイパスを利用して、管理者権限でマルウェアを起動します。誤検知は起こりそうにありません。
  • プラットフォーム: Windows
  • 追加リファレンス: Penetration Testing Lab
  • 追加日: 2023年11月

コンパイル済みHTML(CHM)ファイルを介したペイロード作成の高度な検出のための更新ルール
  • ルール名: 「コンパイル済みHTML(CHM)ファイルを介したペイロード作成」
  • MITRE手法: T1218、T1218.001
  • 説明: このルールは、HTMLヘルプ実行可能プログラム(hh.exe)によって読み込まれたコンパイル済みHTMLファイル(.chm)を介して、スクリプトまたは実行可能ファイルのような可能なペイロードの作成を検出します。CHMファイルはHTMLドキュメント、画像、VBA、JScript、Java、ActiveXなどのスクリプトまたはウェブ関連のプログラミング言語を含むさまざまなコンテンツの圧縮コンパイルです。攻撃者はCHMファイルを悪用して悪意のあるコードを隠蔽する可能性があります。正規のソフトウェアがCHMファイルを実行する場合があります。
  • プラットフォーム: Windows
  • 追加リファレンス: Lookout
  • 追加日: 2023年11月