Microsoft Defender for Endpoint でインシデント対応 する上で知っておきたい Windows の知識 株式会社エストディアン 国井 傑 (くにい すぐる)

2 自己紹介 • 国井 傑 (くにい すぐる) • 株式会社エストディアン 所属 • 公立大学法人会津大学 客員教授 • マイクロソフト認定トレーナー (1997～2025) • Microsoft MVP for Security (2006～2024) • https://AzureAD.net • 主な職務・実績 • Microsoft 365 セキュリティ/インフラ管理に関わるトレーニング • テクニカル ライター (日経 BP, 技術評論社, @IT 等)

MDE の基本知識

4 アラートとインシデント インシデント アラート アラート 推奨されないような特定の事象が発生した時に出力する内容 個々のアラートの詳細を確認していくことが次のステップになる インシデント 一連の攻撃や関連するアラートをひとまとめにしたもの。 まずはここから調査を開始する。 影響を受けるエンドポイントの数、影響を受けるユーザー、 検出ソース、カテゴリなどの通知属性に基づいて自動的に生成。 https://security.microsoft.com > インシデントとアラート

5 インシデントとアラートの検出 インシデント インシデント内のアラート インシデントと判定した要因

6 アラートでの検出 特定のアラートの詳細 アラートを発生させた事象 に関わるプロセスツリー

7 アラートのストーリーから分析 Powershell.exe から notepad.exe を呼び出している notepad.exe にプロセスが注入 され、悪意のコードが実行された プロセスが注入により 204.79.197.203 へ の通信が行われた Powershell.exe は explorer.exe から呼び出されている

8 デバイスのインベントリ https://security.microsoft.com > アセット > デバイス > 個別のデバイス アクティビティを 時系列に表示

知っておきたい Windows の基本知識 その 1 ハッシュ

10 RegSvcs.exe ってマルウェア？ Multi-stage incident involving Defense evasion & Discovery on one endpoint より

11 ハッシュはファイルを確認するための情報 ハッシュ値 Multi-stage incident involving Defense evasion & Discovery on one endpoint より

12 Virustotal でチェック

知っておきたい Windows の基本知識 その 2 schtasks.exe

14 schtasks.exe ってマルウェア？ Multi-stage incident involving Execution & Defense evasion on one endpoint より いいえ。タスクスケジューラのコマンドです。 悪性ファイルの自動実行を補助するために使います。

15 MITRE ATT&CK の Persistence カテゴリの攻撃に該当

16 類似のプログラムたち • ASEP • Auto Start Entry Point の略で Windows 起動時に同時に起動するプログラムを 指定するレジストリの領域 • Autoruns プログラム (Windows Sysinternals) から確認可能 • sc.exe • サービスの登録・実行などを管理するコマンドベースのプログラム • 実行方法 sc.exe create badservice binpath=c:¥users¥admin¥downloads¥malware.exe • wmic.exe • コマンドベースで WMI の操作を行うプログラムで、任意のプログラムの遠隔実行が可能 • 実行方法 wmic.exe /node:dc01 process call create “cmd.exe /c netsh advfirewall set allprofiles state off”

知っておきたい Windows の基本知識 その 3 rundll32.exe

18 rundll32.exe ってマルウェア？ Suspicious files incident including Ransomware on one endpoint より いいえ。DLL をロードするためのプログラムです。 こんな感じで実行します。 C:¥Windows¥System32¥rundll32.exe C:¥Windows¥System32¥shell32.dll,Contr ol_RunDLL

19 類似のプログラムたち • dllhost.exe • DLL内の関数を呼び出すためのプログラム • 実行方法 dllhost.exe xxx.dll • regsvr32.exe • DLL または ActiveX コントロールをレジストリに登録し、 後に実行可能な状態にするためのプログラム • 実行方法 regsvr32 xxx.dll /s

知っておきたい Windows の基本知識 その 4 svchost.exe

21 svchost.exe ってマルウェア？ Suspicious files incident including Ransomware on one endpoint より いいえ。サービス実行を管理するためのプログラムで、次のような書式で命令します svchost.exe -k サービス(グループ)名 -s サービスグループ内の特定のサービス名

知っておきたい Windows の基本知識 まとめ

MDE の監視には Windows はどのようなプログラムから 成り立っているのか？を理解する必要があります。 少しずつでも知識を蓄え、今後に備えていきましょう！

https://AzureAD.net のリンクより詳細をご覧いただけます MDE を学びたい方、ご検討ください