Blue Team / インシデントレスポンスのためのツールとテクニック
この GitHub リポジトリには、ブルーチーミング活動に役立つ 70+ のツールとリソースのコレクションが含まれています。
一部のツールはブルーチーミング専用に設計されている場合がありますが、その他のツールはより汎用的で、ブルーチーミングの状況に合わせて利用できるものもあります。
🔗 レッドチーマーの方は、RedTeam-Tools をチェックしてみてください。
警告
このリポジトリの資料は、情報提供および教育のみを目的としています。違法行為での使用を意図したものではありません。
注意
矢印でツールリストの見出しを非表示にします。
🔙 をクリックしてリストに戻ります。
ブルーチーマーのヒント集から学びましょう。これらのヒントは、ブルーチーミング能力を向上させるためのさまざまな戦術、ツール、方法論を網羅しています。
説明: 'マルウェア解析のヒント - Process Hackerを使用して、新しく生成されたプロセス内の不審な.NETアセンブリを監視します。DnSpyと組み合わせると、手動で難読化を解除することなく、悪意のあるペイロードを特定して抽出できます。'
クレジット: @embee_research
リンク: Twitter
説明:
Windowsでは、脅威アクターがMicrosoft Officeファイルを装った悪意のあるスクリプトファイルにより初期実行を達成するケースがよく見られます。この攻撃チェーンを防ぐ良い方法は、これらのファイル（HTA、JS、VBA、VBS）に関連付けられたデフォルトアプリケーションをnotepad.exeに変更することです。これにより、ユーザーが巧妙に騙されてディスク上のHTAファイルをクリックしても、スクリプトがメモ帳で開かれ、実行は発生しません。
クレジット: bluesoul
リンク: ブログ
説明: クリプトジャッキングマルウェアはますます巧妙になっており、マイニングマルウェアはDLLサイドローディングを活用してマシン上に潜伏し、CPU負荷を下げて検出しきい値を下回るようにしています。それらに共通する点は、マイニングプールへの接続をしなければならないことであり、そこが発見ポイントです。プロキシおよびDNSログを監視し、一般的なマイニングプールの文字列（例：*xmr.* OR *pool.com OR *pool.org OR pool.*）を含む接続を探してください。
クレジット: Dave Mckay
リンク: ブログ
説明: 'マルウェア解析中にUnicode文字列のbase64をデコードした後、ヌルバイトに遭遇する場合があります。CyberChefの「Remove null bytes」操作を使用して、コードの可読性を維持してください。'
クレジット: Ayush Anand
リンク: Twitter
説明: しっかりと削除されていないPDFから、削除されたメタデータを復元できることをご存知ですか？変更は段階的に行われ、履歴がPDF内に保存されます。次のコマンドはPDFメタデータへの「更新」を削除します：
exiftool -PDF-update:all= file.pdf
クレジット: Jon Gorenflo
リンク: Twitter
ネットワークのスキャンとマッピング、デバイスとサービスの発見、潜在的な脆弱性の特定を行うためのツールです。
Nmap（Network Mapperの略）は、コンピューターネットワーク上のホストとサービスを発見し、それらの特性に関する情報を調べるために使用される、無料のオープンソースのネットワークスキャナーツールです。
ネットワーク上のどのポートが開いているか、それらのポートでどのサービスが実行されているかを判断するために使用できます。さらに、ネットワーク上のセキュリティ脆弱性を特定する機能も備えています。
インストール:
最新リリースはこちらからダウンロードできます。
使用方法:```bash
nmap 192.168.1.1
nmap 192.168.1.1-254
nmap -iL targets.txt
nmap 192.168.1.1 -p 21
nmap 192.168.1.1 -A
便利な使い方の[チートシート](https://www.stationx.net/nmap-cheat-sheet/)。
*https://kirelos.com/nmap-version-scan-determining-the-version-and-available-services/ から使用した画像*
### [🔙](#tool-list)[Nuclei](https://nuclei.projectdiscovery.io/nuclei/get-started/)
ウェブアプリケーション、ネットワーク、インフラストラクチャにおける脆弱性の検出プロセスを自動化するために設計された専門ツールです。
Nucleiは、事前定義されたテンプレートを使用してターゲットを調査し、潜在的な脆弱性を特定します。単一のホストまたは一連のホストをテストするために使用でき、さまざまな種類の脆弱性をチェックするための多様なテストを実行するように設定できます。
**インストール:**```bash
git clone https://github.com/projectdiscovery/nuclei.git; \
cd nuclei/v2/cmd/nuclei; \
go build; \
mv nuclei /usr/local/bin/; \
nuclei -version;
使用方法:```bash
nuclei -u https://example.com
nuclei -u https://example.com -t cves/ -t exposures/
nuclei -list http_urls.txt
nuclei -list urls.txt -t cves/ -exclude-templates cves/2020/CVE-2020-XXXX.yaml
Full usage information can be found [here](https://nuclei.projectdiscovery.io/nuclei/get-started/#running-nuclei).
*Image used from https://www.appsecsanta.com/nuclei*
### [🔙](#tool-list)[Masscan]()
nmapに似たポートスキャナですが、はるかに高速で、短時間に大量のポートをスキャンできます。
Masscanは「SYNスキャン」と呼ばれる新しい技術を使用してネットワークをスキャンするため、非常に短時間で大量のポートをスキャンできます。
**インストール：（Apt）**```bash
sudo apt install masscan
インストール: (Git)```bash sudo apt-get install clang git gcc make libpcap-dev git clone https://github.com/robertdavidgraham/masscan cd masscan make
**使い方：**```bash
# Scan for a selection of ports (-p22,80,445) across a given subnet (192.168.1.0/24)
masscan -p22,80,445 192.168.1.0/24
# Scan a class B subnet for ports 22 through 25
masscan 10.11.0.0/16 -p22-25
# Scan a class B subnet for the top 100 ports at 100,000 packets per second
masscan 10.11.0.0/16 ‐‐top-ports 100 ––rate 100000
# Scan a class B subnet, but avoid the ranges in exclude.txt
masscan 10.11.0.0/16 ‐‐top-ports 100 ‐‐excludefile exclude.txt
画像は https://kalilinuxtutorials.com/masscan/ より
IPアドレスとポートをスキャンするための、無料かつオープンソースのツールです。
クロスプラットフォーム対応のツールで、高速かつ使いやすく設計されており、ネットワーク全体やIPアドレスの範囲をスキャンして稼働中のホストを検出できます。
Angry IP Scannerは、デバイスのホスト名とMACアドレスも検出でき、基本的なpingスイープやポートスキャンの実行にも使用できます。
インストール:
最新リリースはこちらからダウンロードできます。
使用方法:
Angry IP ScannerはGUIで使用できます。
詳細な使用方法とドキュメントはこちらで確認できます。
画像は https://angryip.org/screenshots/ より
ZMapは、IPv4アドレス空間全体またはその大部分を包括的にスキャンするように設計されたネットワークスキャナです。
ギガビットイーサネット接続を備えた一般的なデスクトップコンピュータでは、ZMapは公開IPv4アドレス空間全体を45分以内でスキャンできます。
インストール:
最新リリースはこちらからダウンロードできます。
使用方法:```bash
zmap -p 80 10.0.0.0/8 192.168.0.0/16
Full usage information can be found [here](https://github.com/zmap/zmap/wiki).
*画像の出典: https://www.hackers-arise.com/post/zmap-for-scanning-the-internet-scan-the-entire-internet-in-45-minutes*
### [🔙](#tool-list)[Shodan]()
Shodan は、インターネットに接続されたデバイス向けの検索エンジンです。
インターネット上の資産をクロールし、ユーザーが特定のデバイスを検索して、その情報を閲覧できるようにします。
この情報には、デバイスの IP アドレス、実行中のソフトウェアとバージョン、デバイスの種類などが含まれます。
**インストール:**
検索エンジンは[https://www.shodan.io/dashboard](https://www.shodan.io/dashboard)からアクセスできます。
**使用方法:**
[Shodan クエリの基本](https://help.shodan.io/the-basics/search-query-fundamentals)
[Shodan クエリの例](https://www.shodan.io/search/examples)
[便利なクエリのチートシート](https://www.osintme.com/index.php/2021/01/16/ultimate-osint-with-shodan-100-great-shodan-queries/)
*画像の出典: https://www.shodan.io/*
脆弱性管理
====================
*ネットワークおよび個々のデバイス上の脆弱性を特定、優先順位付け、緩和するためのツール。*
### [🔙](#tool-list)[OpenVAS](https://openvas.org/)
OpenVAS は、ソフトウェアとネットワークのセキュリティ脆弱性の特定に役立つオープンソースの脆弱性スキャナーです。
これはネットワークセキュリティ評価を実施するために使用できるツールであり、システムやアプリケーションの脆弱性を特定して、パッチ適用や緩和を行うためにしばしば使用されます。
OpenVAS は Greenbone Networks 社によって開発されており、無料のオープンソースソフトウェアアプリケーションとして利用できます。
**インストール: (Kali)**```bash
apt-get update
apt-get dist-upgrade
apt-get install openvas
openvas-setup
使い方:```bash openvas-start
https://127.0.0.1:9392 にアクセスし、SSL証明書のポップアップを受け入れて、管理者資格情報でログインします：
- ユーザー名:admin
- パスワード:(*openvas-setupコマンドの出力に表示されるパスワード*)
*画像出典: https://www.kali.org/blog/openvas-vulnerability-scanning/*
### [🔙](#tool-list)[Nessus Essentials](https://www.tenable.com/products/nessus/nessus-essentials)
Nessusは、ネットワークやコンピュータシステム内に存在する脆弱性を特定し、評価するのに役立つ脆弱性スキャナです。
セキュリティ評価を実施するためのツールであり、システムやアプリケーションの脆弱性を特定して、パッチ適用や緩和を行うために使用できます。
NessusはTenable, Inc.によって開発されており、無料版と有料版の両方が用意されています：
- Nessus Essentialsと呼ばれる無料版は、個人利用のみを対象としており、有料版と比較して機能が制限されています。
- Nessus Professionalと呼ばれる有料版は、より完全な機能を備えており、プロフェッショナルな環境での使用を目的としています。
**インストール:**
Nessus Essentialsのアクティベーションコードを[こちら](https://www.tenable.com/products/nessus/nessus-essentials)で登録し、ダウンロードしてください。
Nessus Professionalは[こちら](https://www.tenable.com/products/nessus/nessus-professional)から購入できます。
**使用方法:**
詳細なドキュメントは[こちら](https://docs.tenable.com/nessus/Content/GetStarted.htm)にあります。
[Nessus Plugins Search](https://www.tenable.com/plugins/search)
[Tenable Community](https://community.tenable.com/)
*画像出典: https://www.tenable.com*
### [🔙](#tool-list)[Nexpose](https://www.rapid7.com/products/nexpose/)
NexposeはRapid7によって開発された脆弱性管理ツールです。組織がシステムやアプリケーションの脆弱性を特定・評価し、リスクを軽減してセキュリティを向上させるために設計されています。
Nexposeは、ネットワーク、デバイス、アプリケーションをスキャンして脆弱性を特定し、修復の推奨事項を提供するために使用できます。
また、資産検出、リスクの優先順位付け、Rapid7脆弱性管理プラットフォーム内の他のツールとの統合などの機能も提供します。
**インストール:**
詳細なインストール手順については、[こちら](https://docs.rapid7.com/nexpose/install/)を参照してください。
**使用方法:**
完全なログイン情報については、[こちら](https://docs.rapid7.com/nexpose/log-in-and-activate)を参照してください。
使用法とスキャン作成の手順については、[こちら](https://docs.rapid7.com/nexpose/create-and-scan-a-site)を参照してください。
*画像出典: https://www.rapid7.com/products/nexpose/*
### [🔙](#tool-list)[HackerOne](https://www.hackerone.com/)
HackerOneはバグ報奨金管理会社であり、ビジネス向けのバグ報奨金プログラムを作成および管理するために使用できます。
バグ報奨金プログラムは、外部の脆弱性評価をアウトソーシングする優れた方法です。このプラットフォームは、プログラムのスコープと実施ルールを設定できる機能を備え、非公開および公開の両方のプログラムを提供しています。
HackerOneはまた、研究者からの外部バグレポートの初期トリアージと管理を提供し、プラットフォームを通じて研究者に直接報酬を支払うことができます。
*画像出典: https://www.hackerone.com/product/bug-bounty-platform*
### [🔙](#tool-list)[Lynis](https://github.com/cisofy/lynis)
Lynisは、Linux、macOS、UNIXベースのシステム向けのセキュリティ監査ツールです。コンプライアンステスト（HIPAA/ISO27001/PCI DSS）とシステムの堅牢化を支援します。
システム自体で実行され、詳細なセキュリティスキャンを実行します。主な目的は、セキュリティ防御をテストし、さらなるシステム強化のためのヒントを提供することです。また、一般的なシステム情報、脆弱なソフトウェアパッケージ、可能性のある設定問題もスキャンします。
**インストール:**```bash
git clone https://github.com/CISOfy/lynis
詳細なインストール手順はこちらを参照してください。
使用方法:```bash
cd lynis && ./lynis audit system
ドキュメントは[こちら](https://cisofy.com/documentation/lynis/)にあります。
*画像は https://cisofy.com/lynis/ から使用*
セキュリティ監視
====================
*セキュリティログやその他のデータソースを収集・分析し、潜在的な脅威や異常なアクティビティを特定するためのツール。*
### [🔙](#tool-list)[Sysmon](https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon)
Sysmon は、システムアクティビティを追跡し、Windows イベントログに記録する Windows システムモニタです。
プロセスの作成と終了、ネットワーク接続、ファイル作成時刻の変更など、システムアクティビティに関する詳細な情報を提供します。
Sysmon は特定のイベントやプロセスを監視するように構成でき、システム上の不審なアクティビティを管理者に警告するために使用できます。
**インストール:**
sysmon バイナリは[ここ](https://download.sysinternals.com/files/Sysmon.zip)からダウンロードしてください。
**使用方法:**```bash
# Install with default settings (process images hashed with SHA1 and no network monitoring)
sysmon -accepteula -i
# Install Sysmon with a configuration file (as described below)
sysmon -accepteula -i c:\windows\config.xml
# Uninstall
sysmon -u
# Dump the current configuration
sysmon -c
イベントフィルタリングの詳細情報はこちらで確認できます。
Microsoftのドキュメントページはこちらです。
画像出典: https://nsaneforums.com/topic/281207-sysmon-5-brings-registry-modification-logging/
Kibanaは、Elasticsearchと組み合わせてログ解析によく使用されるオープンソースのデータ可視化・探索ツールです。
Kibanaは、ログデータを検索・可視化・分析するためのユーザーフレンドリーなインターフェースを提供します。これは、セキュリティ上の脅威を示す可能性のあるパターンや傾向を特定するのに役立ちます。
Kibanaは、システムログ、ネットワークログ、アプリケーションログなど、幅広いデータソースの分析に使用できます。また、カスタムダッシュボードやアラートを作成して、セキュリティチームが潜在的な脅威を把握し、インシデントに迅速に対応できるようにすることもできます。
インストール:
Kibanaはこちらからダウンロードできます。
インストール手順はこちらで確認できます。
使用方法:（ログデータの可視化と探索）
Kibanaは、ログデータのパターンや傾向を特定するのに役立つさまざまな可視化ツールを提供します。これらのツールを使用して、関連するメトリクスやアラートを表示するカスタムダッシュボードを作成できます。
使用方法:（脅威アラート）
Kibanaは、ログデータ内の特定のパターンや異常を検出したときにアラートを送信するように設定できます。失敗したログイン試行や既知の悪意のあるIPアドレスへのネットワーク接続など、潜在的なセキュリティ脅威を通知するアラートを設定できます。
Kibanaでのデータのクエリと可視化に関する素晴らしいブログです。
Logstashは、リアルタイムのパイプライン処理機能を備えたオープンソースのデータ収集エンジンです。これはサーバーサイドのデータ処理パイプラインであり、複数のソースから同時にデータを取り込み、変換して、Elasticsearchのような「stash」に送信します。
Logstashには豊富なプラグインセットがあり、さまざまなソースに接続してデータを複数の方法で処理できます。ログを解析・変換したり、データを構造化された形式に変換したり、さらに処理するために別のツールに送信したりできます。
大量のデータを迅速に処理できるため、LogstashはELKスタック（Elasticsearch、Logstash、Kibana）の不可欠な部分であり、ログデータの集中管理、変換、監視によく使用されます。
インストール:
Logstashはこちらからダウンロードできます。
使用方法:
Logstashの完全なドキュメントはこちらです。
設定例はこちらです。
画像出典: https://www.elastic.co/guide/en/logstash/current/logstash-modules.html
DMARCレポートを解析するためのPythonモジュールおよびCLIユーティリティです。
ElasticsearchとKibana（またはSplunk）と組み合わせて使用すると、Agari Brand Protection、Dmarcian、OnDMARC、ProofPoint Email Fraud Defense、Valimailなどの商用DMARCレポート処理サービスのセルフホスト型オープンソース代替として機能します。
特徴:
画像出典: https://github.com/domainaware/parsedmarc
企業にとって、フィッシングは自社と顧客に評判的および金銭的な損害をもたらす可能性があります。自社を標的としたフィッシング基盤を事前に特定できることで、これらの損害のリスクを軽減できます。
Phish Catcherは、CertStream APIを介してCertificate Transparency Log（CTL）に報告された不審なTLS証明書の発行を監視することで、フィッシングの可能性のあるドメインをほぼリアルタイムで検出できます。
「不審な」発行とは、設定ファイルに基づいてドメイン名のスコアが一定のしきい値を超えたものです。
画像出典: https://github.com/x0rz/phishing_catcher
Maltrailは、悪意のあるトラフィック検出システムです。公開されている悪意のある、または一般的に不審なトレイルを含むリストに加え、さまざまなAVレポートから作成された静的トレイルやユーザー定義のカスタムリストを利用します。トレイルは、ドメイン名、URL、IPアドレス、HTTP User-Agentヘッダー値など、あらゆるものを対象にできます。
このツールのデモページはこちらで確認できます。
インストール:```bash sudo apt-get install git python3 python3-dev python3-pip python-is-python3 libpcap-dev build-essential procps schedtool sudo pip3 install pcapy-ng git clone --depth 1 https://github.com/stamparm/maltrail.git cd maltrail
**使用方法:**```bash
sudo python3 sensor.py
画像出典: https://github.com/stamparm/maltrail
Autoruns は、Sysinternals が開発したツールで、Windows 上のアプリケーションが起動時や特定のアプリケーションを開いたときに自動起動のために挿入できるすべての場所を表示します。マルウェアは多くの場合、コンピューターの起動時に必ず実行されるように、これらの場所を悪用します。
Autoruns には、便利な非対話型コマンドライン ユーティリティが含まれています。このコードは、Autoruns エントリの CSV を生成し、JSON に変換して、最後にカスタム Windows イベント ログに挿入します。これにより、既存の WEF インフラストラクチャを活用して、これらのエントリを SIEM に取り込み、エンドポイントやサーバー上の悪意のある永続化の兆候を探し始めることができます。
インストール:
AutorunsToWinEventLog をダウンロードします。
使用方法:
管理者 PowerShell コンソールから .\Install.ps1 を実行します。
このスクリプトは次のことを行います:
画像出典: https://www.detectionlab.network/usage/autorunstowineventlog/
ProcFilter は、YARA 統合を組み込んだ Windows 用のプロセス フィルタリング システムです。YARA ルールには、ルール一致に対する応答を調整するカスタム メタ タグを設定できます。このシステムは Windows サービスとして実行され、Microsoft の ETW API と統合されているため、結果を Windows イベント ログで表示できます。インストール、アクティブ化、削除は動的に行うことができ、再起動は必要ありません。
ProcFilter の想定用途は、マルウェア アナリストが特定の脅威から Windows 環境を保護する YARA シグネチャを作成できるようにすることです。大規模なシグネチャ セットは含まれていません。広範または包括的というよりは、軽量で正確、かつ標的を絞ったものと考えてください。ProcFilter は、カスタム プラグインがアーティファクト固有のアクションを実行できる管理された分析環境での使用も想定しています。
インストール:
ProcFilter x86/x64 Release/Debug Installers
注: パッチが適用されていない Windows 7 システムでは、ドライバー コンポーネントを読み込むために修正プログラム 3033929 が必要です。詳細はこちらをご覧ください。
便利な設定テンプレート ファイルは こちら です。
使用方法:``` procfilter -start
使用画面のスクリーンショットは[こちら](https://github.com/godaddy/procfilter#screenshots)をご覧ください。
*画像出典: https://github.com/godaddy/procfilter*
### [🔙](#tool-list)[velociraptor](https://github.com/Velocidex/velociraptor)
Velociraptorは、ユニークで先進的なオープンソースのエンドポイント監視、デジタルフォレンジック、サイバーレスポンスプラットフォームです。
特定のアーティファクトを探索し、エンドポイント群にわたる活動を監視するための強力かつ効率的な方法を必要としていたデジタルフォレンジックおよびインシデント対応(DFIR)の専門家によって開発されました。Velociraptorを使用すれば、幅広いデジタルフォレンジックおよびサイバーインシデント対応の調査やデータ侵害に、より効果的に対応できます。
機能:
- デジタルフォレンジック分析による攻撃者の活動の再構築
- 高度な敵対者の証拠の探索
- マルウェアの蔓延やその他の不審なネットワーク活動の調査
- USBデバイスにコピーされたファイルなど、不審なユーザー活動の継続的な監視
- 機密情報の開示がネットワーク外で発生したかどうかの検出
- 脅威ハンティングや将来の調査で使用するための、経時的なエンドポイントデータの収集
**インストール:**
[リリースページ](https://github.com/Velocidex/velociraptor/releases)からバイナリをダウンロードしてください。
**使用法:**```
velociraptor gui
Full usage information can be found here.
Image used from https://docs.velociraptor.app
SysmonSearchは、MicrosoftのSysmonが生成するイベントログを集約することで、イベントログ分析をより効果的かつ時間のかからないものにします。
SysmonSearchはElasticserachとKibana（およびKibanaプラグイン）を使用します。
インストール: (Linux)```bash git clone https://github.com/JPCERTCC/SysmonSearch.git
[Elasticsearch設定の変更](https://github.com/JPCERTCC/SysmonSearch/wiki/Install#elasticsearch-server-setup)
[Kibana設定の変更](https://github.com/JPCERTCC/SysmonSearch/wiki/Install#kibana-server-setup)
完全なインストール手順は[こちら](https://github.com/JPCERTCC/SysmonSearch/wiki/Install)にあります。
**使用方法:**
*ElasticsearchとKibanaの設定を変更したら、サービスを再起動し、Kibanaインターフェースに移動します。SysmonSearchリボンが表示されるはずです。*
[Sysmonログを可視化して不審な挙動を調査する](https://blogs.jpcert.or.jp/ja/2018/09/SysmonSearch.html)
*画像出典: https://blogs.jpcert.or.jp/ja/2018/09/SysmonSearch.html*
### [🔙](#tool-list)[Canary Tokens](https://canarytokens.org/nest/)
Canarytokensは、ネットワーク、コンピュータ、クラウド向けのモーションセンサーのようなものです。フォルダ、ネットワークデバイス、スマートフォンに設置できます。
誰も触れるべきでない場所に設置し、アクセスされた場合に明確なアラームを受け取れます。攻撃者にとって魅力的に見えるように設計されており、開かれる可能性を高めます（しかも完全に無料です）。
**インストール:**
[トークンページ](https://canarytokens.org/nest/)にアクセスし、トークンのリストから選択します。
**使用方法:**
トークンアラートを受け取るメールアドレスを追加して、あとは待つだけです。
完全な使用方法と例は[こちら](https://docs.canarytokens.org/guide/examples.html)にあります。
*画像出典: https://canarytokens.org/nest/*
脅威ツールとテクニック
====================
*脅威アクターによって使用されるTTPを特定し、検知を実装するためのツール。*
### [🔙](#tool-list)[lolbas-project.github.io](https://lolbas-project.github.io/)
Living off the land binaries（LOLBins）は、脅威アクターが疑われることなく悪意のある活動を実行するために使用できる、正規のWindows実行可能ファイルです。
LOLBinsを使用することで、攻撃者は通常のシステム活動に溶け込み、検知を回避できるため、悪意のあるアクターに人気の選択肢となっています。
LOLBASプロジェクトは、MITREにマッピングされたLOLBINのリストで、防御者向けのコマンド、使用法、検知情報が含まれています。
[https://lolbas-project.github.io/](https://lolbas-project.github.io/)にアクセスしてください。
**使用方法:**
この情報を検知の機会として活用し、LOLBINの使用に対してインフラストラクチャを強化します。
開始に役立つプロジェクトリンクは以下のとおりです:
- [Bitsadmin.exe](https://lolbas-project.github.io/lolbas/Binaries/Bitsadmin/)
- [Certutil.exe](https://lolbas-project.github.io/lolbas/Binaries/Certutil/)
- [Cscript.exe](https://lolbas-project.github.io/lolbas/Binaries/Cscript/)
*画像出典: https://lolbas-project.github.io/*
### [🔙](#tool-list)[gtfobins.github.io](https://gtfobins.github.io/)
GTFOBins（「Get The F* Out Binaries」の略）は、権限昇格、制限の回避、またはシステム上での任意のコマンド実行に使用できるUnixバイナリのコレクションです。
これらは脅威アクターによって、システムへの不正アクセスや悪意のある活動の実行に使用される可能性があります。
GTFOBinsプロジェクトは、攻撃者向けのコマンドと使用情報を含むUnixバイナリのリストです。この情報は、Unixの検知を実装するために使用できます。
[https://gtfobins.github.io/](https://gtfobins.github.io/)にアクセスしてください。
**使用方法:**
開始に役立つプロジェクトリンクは以下のとおりです:
- [base64](https://gtfobins.github.io/gtfobins/base64/)
- [curl](https://gtfobins.github.io/gtfobins/curl/)
- [nano](https://gtfobins.github.io/gtfobins/nano/)
*画像出典: https://gtfobins.github.io/*
### [🔙](#tool-list)[filesec.io](https://filesec.io/)
Filesecは、フィッシング、実行、マクロなどに攻撃者が使用できるファイル拡張子のリストです。
これは、一般的なファイル拡張子の悪意のあるユースケースと、それらに対する防御方法を理解するための優れたリソースです。
各ファイル拡張子のページには、説明、関連オペレーティングシステム、推奨事項が含まれています。
[https://filesec.io/](https://filesec.io/)にアクセスしてください。
**使用方法:**
開始に役立つプロジェクトリンクは以下のとおりです:
- [.Docm](https://filesec.io/docm)
- [.Iso](https://filesec.io/iso)
- [.Ppam](https://filesec.io/ppam)
*画像出典: https://filesec.io/*
### [🔙](#tool-list)[KQL Search](https://www.kqlsearch.com/)
KQLは「Kusto Query Language」の略で、Azure Monitorログ内のデータを検索およびフィルタリングするために使用されるクエリ言語です。SQLに似ていますが、ログ分析と時系列データ向けにより最適化されています。
KQLクエリ言語は、脅威を示す可能性のあるセキュリティイベントや異常を特定するために、大量のログデータをすばやく簡単に検索できるため、ブルーチームにとって特に便利です。
KQL Searchは、[@ugurkocde](https://twitter.com/ugurkocde)によって作成されたWebアプリで、GitHubで共有されているKQLクエリを集約します。
サイトは[https://www.kqlsearch.com/](https://www.kqlsearch.com/)からアクセスできます。
Kusto Query Language (KQL) の詳細については[こちら](https://learn.microsoft.com/en-us/azure/data-explorer/kusto/query/)を参照してください。
*画像出典: https://www.kqlsearch.com/*
### [🔙](#tool-list)[Unprotect Project](https://unprotect.it/about/)
マルウェア作成者は、標的システムに対して悪意のあるアクションを実行するための複雑なコードを開発するために、多大な時間と労力を費やします。マルウェアが検知されず、サンドボックス分析、アンチウイルス、またはマルウェアアナリストを回避することが極めて重要です。
この種のテクニックにより、マルウェアはレーダーの下を通過し、システム上で検知されずにいることができます。この無料データベースの目的は、マルウェアの回避テクニックに関する情報を一元化することです。
このプロジェクトは、マルウェアアナリストと防御者に実用的な洞察と検知機能を提供し、対応時間を短縮することを目的としています。
プロジェクトは[https://unprotect.it/](https://unprotect.it/)にあります。
プロジェクトにはAPIがあります - ドキュメントは[こちら](https://unprotect.it/api/)。
*画像出典: https://unprotect.it/map/*
### [🔙](#tool-list)[chainsaw](https://github.com/WithSecureLabs/chainsaw)
Chainsawは、イベントログやMFTなどのWindowsフォレンジックアーティファクト内の脅威を迅速に特定するための強力な「ファーストレスポンス」機能を提供します。Chainsawは、キーワードによるイベントログ検索の汎用的かつ高速な方法を提供し、Sigma検知ルールの組み込みサポートとカスタムChainsaw検知ルールによる脅威の特定を実現します。
特徴:
- Sigma検知ルールとカスタムChainsaw検知ルールを使用した脅威のハンティング
- 文字列マッチングと正規表現パターンによるフォレンジックアーティファクトの検索と抽出
- Rustで書かれた高速処理。@OBenamramによるEVTXパーサーライブラリをラップ
- 不要な冗長性のない、クリーンで軽量な実行と出力形式
- TAUエンジンライブラリによるドキュメントタグ付け（検知ロジックマッチング）
- ASCIIテーブル形式、CSV形式、JSON形式など、さまざまな形式で結果を出力
- MacOS、Linux、Windowsで実行可能
**インストール:**```bash
git clone https://github.com/countercept/chainsaw.git
cargo build --release
git clone https://github.com/SigmaHQ/sigma
git clone https://github.com/sbousseaden/EVTX-ATTACK-SAMPLES.git
使用法:```bash ./chainsaw hunt EVTX-ATTACK-SAMPLES/ -s sigma/ --mapping mappings/sigma-event-logs-all.yml
*画像は https://twitter.com/FranticTyping/status/1433386064429916162/ より*
### [🔙](#tool-list)[freq](https://github.com/MarkBaggett/freq)
攻撃者は、ランダムなファイル名、サービス名、ワークステーション名、ドメイン、ホスト名、SSL証明書のサブジェクトや発行者サブジェクトなどを導入することで、シグネチャベース/パターンマッチング/ブラックリスト技術を回避しようとします。
Freq は、Mark Baggett によって設計された、大量のエントロピーテストを処理するための Python API です。SIEM ソリューションと組み合わせて使用するように設計されていますが、Web リクエストを送信できるものであれば何とでも連携できます。
このツールは、ある文字の後に別の文字が続く可能性をマッピングした頻度テーブルを使用します。
**インストール:**```bash
git clone https://github.com/MarkBaggett/freq
cd freq
使用方法:```bash
/usr/bin/python /opt/freq/freq_server.py 10004 /opt/freq/dns.freq
### [🔙](#tool-list)[yarGen](https://github.com/Neo23x0/yarGen)
yarGen は YARA ルールのジェネレーターです
主な原理は、マルウェアファイル内に見つかった文字列から YARA ルールを作成し、グッドウェアファイルにも出現するすべての文字列を除去することです。そのため、yarGen には大量のグッドウェア文字列とオペコードデータベースが ZIP アーカイブとして含まれており、最初に使用する前に展開する必要があります。
ルール生成プロセスは、分析対象のファイル間の類似性も特定しようとし、その後、文字列をいわゆるスーパールールに結合します。スーパールールの生成では、単一のスーパールールに結合されたファイルに対する単純なルールは削除されません。つまり、スーパールールが作成されるときにいくらかの冗長性が生じます。--nosimple を使用することで、スーパールールで既にカバーされているファイルの単純なルールを抑制できます。
**インストール:**
最新の [リリース](https://github.com/Neo23x0/yarGen/releases) をダウンロードしてください。```bash
pip install -r requirements.txt
python yarGen.py --update
使用方法:```bash
yarGen.py -c --opcodes -i office -g /opt/packs/office2013
yarGen.py -u --opcodes -i office -g /opt/packs/office365
Usage examples can be found [here](https://github.com/Neo23x0/yarGen#examples).
*画像は https://github.com/Neo23x0/yarGen から使用*
### [🔙](#tool-list)[EmailAnalyzer](https://github.com/keraattin/EmailAnalyzer)
EmailAnalyzerを使用すると、疑わしいメールを分析できます。.emlファイルからヘッダー、リンク、ハッシュを抽出できます。
**インストール:**```bash
git clone https://github.com/keraattin/EmailAnalyzer
cd EmailAnalyzer
使用法:```bash
python3 email-analyzer.py -f --headers
python3 email-analyzer.py -f --digests
python3 email-analyzer.py -f --links
python3 email-analyzer.py -f --attachments
*テキストは https://github.com/keraattin/EmailAnalyzer から使用*
### [🔙](#tool-list)[VCG](https://github.com/nccgroup/VCG)
VCG は、C/C++、Java、C#、VB、PL/SQL を扱う自動コードセキュリティレビューツールです。コードセキュリティレビューを実施するすべての人、特に時間が限られている状況で役立つと思われる機能がいくつかあります：
- より複雑なチェックに加えて、各言語用の設定ファイルがあり、基本的に検索したい任意の危険な関数（またはその他のテキスト）を追加できます。
- コメント内で、壊れたコードを示す可能性のある約20種類のフレーズ（「ToDo」「FixMe」「Kludge」など）を検出しようとします。
- コード、空白、コメント、「ToDo」スタイルのコメント、悪いコードの相対的な割合を示す、見やすい円グラフ（コードベース全体と個々のファイルの両方）を提供します。
**インストール：**
事前にコンパイルされたバイナリはこちらからインストールできます。
プロジェクトの .sln を開き、"Release" を選択してビルドします。
**使用方法：**```
STARTUP OPTIONS:
(Set desired starting point for GUI. If using console mode these options will set target(s) to be scanned.)
-t, --target <Filename|DirectoryName>: Set target file or directory. Use this option either to load target immediately into GUI or to provide the target for console mode.
-l, --language <CPP|PLSQL|JAVA|CS|VB|PHP|COBOL>: Set target language (Default is C/C++).
-e, --extensions <ext1|ext2|ext3>: Set file extensions to be analysed (See ReadMe or Options screen for language-specific defaults).
-i, --import <Filename>: Import XML/CSV results to GUI.
OUTPUT OPTIONS:
(Automagically export results to a file in the specified format. Use XML or CSV output if you wish to reload results into the GUI later on.)
-x, --export <Filename>: Automatically export results to XML file.
-f, --csv-export <Filename>: Automatically export results to CSV file.
-r, --results <Filename>: Automatically export results to flat text file.
CONSOLE OPTIONS:
-c, --console: Run application in console only (hide GUI).
-v, --verbose: Set console output to verbose mode.
-h, --help: Show help.
CyberChefは、ユーザーがさまざまな手法を用いてデータを操作・変換できる、無料のWebベースのツールです。
CyberChefを使用すると、16進数、base64、ASCIIなどのさまざまなデータ形式間の変換、データのエンコードとデコード、テキストの検索と置換など、データに対して幅広い操作を実行できます。
このツールにはレシピシステムも含まれており、データ操作ワークフローを保存して他のユーザーと共有できます。
このツールはこちらから使用できます。
画像は https://gchq.github.io/CyberChef/ から使用
PersistenceSniperは、Blue Teams、Incident Responders、System AdministratorsがWindowsマシンに埋め込まれた永続化を探索するために使用できるPowershellモジュールです。
PersistenceSniperは幅広い永続化手法を検出でき、その全リストはこちらにあります。
インストール: (PowerShell Gallery)```bash Install-Module PersistenceSniper Import-Module PersistenceSniper
**インストール: (GitHub)**
[GitHub](https://github.com/last-byte/PersistenceSniper/releases) から .zip をダウンロードし、ツールを実行したいマシンに移動してください。```bash
Expand-Archive -Path .\PersistenceSniper-main.zip -Destination .\
Import-Module .\PersistenceSniper-main\PersistenceSniper\PersistenceSniper.psd1
完全なインストール情報はここにあります。
使用方法:```bash
Find-AllPersistence -Verbose
Find-AllPersistence -PersistenceMethod RunAndRunOnce
Complete usage information can be found [here](https://github.com/last-byte/PersistenceSniper/wiki/2-%E2%80%90-Usage).
*画像は https://hackers-arise.com/powershell-for-dfir-part-2-finding-persistence/ から使用*
Threat Intelligence
====================
*現在および新たな脅威に関するインテリジェンスを収集・分析し、潜在的な脅威に関するアラートを生成するためのツール。*
### [🔙](#tool-list)[Maltego](https://www.maltego.com/solutions/cyber-threat-intelligence/)
Maltegoは、Patervaによって開発された商用の脅威インテリジェンスおよびフォレンジックツールです。セキュリティ専門家は、ドメイン、IPアドレス、ネットワーク、個人に関する情報を収集・分析し、すぐには明らかにならない関係性や関連性を特定するために使用します。
Maltegoは、データをエンティティとして表現するビジュアルインターフェースを備えており、それらはリンクして関係性のネットワークを形成できます。また、ソーシャルメディア、DNSレコード、WHOISデータなど、さまざまなソースからデータを収集するために使用できるスクリプトである、多数のトランスフォームが含まれています。
Maltegoは、包括的な脅威インテリジェンスおよびインシデント対応戦略の一環として、SIEMや脆弱性スキャナーなどの他のセキュリティツールと併用されることがよくあります。
デモは[こちら](https://www.maltego.com/get-a-demo/)から予約できます。
[Maltegoハンドブック サイバー脅威インテリジェンスのためのハンドブック](https://static.maltego.com/cdn/Handbooks/Maltego-Handbook-for-Cyber-Threat-Intelligence.pdf)
*画像は https://www.maltego.com/reduce-your-cyber-security-risk-with-maltego/ から使用*
### [🔙](#tool-list)[MISP](https://www.misp-project.org/)
MISP（Malware Information Sharing Platformの略）は、標的型攻撃、脅威、悪意のある活動の侵害指標（IOC）を共有、保存、および関連付けるためのオープンソースプラットフォームです。
MISPには、IOCのリアルタイム共有、複数形式のサポート、他のツールとのデータのインポート/エクスポート機能など、さまざまな機能が含まれています。
また、MISPと他のセキュリティシステムとの統合を容易にするRESTful APIとさまざまなデータモデルを提供します。脅威インテリジェンスプラットフォームとしての使用に加えて、MISPはインシデント対応、フォレンジック分析、マルウェア研究にも使用されています。
**インストール:**```bash
# Kali
wget -O /tmp/misp-kali.sh https://raw.githubusercontent.com/MISP/MISP/2.4/INSTALL/INSTALL.sh && bash /tmp/misp-kali.sh
# Ubuntu 20.04.2.0-server
wget -O /tmp/INSTALL.sh https://raw.githubusercontent.com/MISP/MISP/2.4/INSTALL/INSTALL.sh
bash /tmp/INSTALL.sh
完全なインストール手順はこちらで確認できます。
使用方法:
MISPドキュメントはこちらにあります。
画像出典: http://www.concordia-h2020.eu/blog-post/integration-of-misp-into-flowmon-ads/
ThreatConnectは、組織が脅威データを集約、分析し、対応することを支援する脅威インテリジェンスプラットフォームです。組織の脅威状況を単一の統合ビューで提供し、ユーザーが脅威に関する情報を共同で共有できるように設計されています。
このプラットフォームには、カスタマイズ可能なダッシュボード、サードパーティのデータソースとの統合、カスタムレポートやアラートの作成機能など、脅威インテリジェンスを収集・分析・配信するためのさまざまな機能が含まれています。
これは、組織が潜在的な脅威を特定、優先順位付けし、対応するために必要な情報を提供することで、セキュリティ態勢を改善することを目的としています。
デモはこちらからリクエストできます。
脅威インテリジェンスアナリスト向け ThreatConnect - PDF
画像出典: https://threatconnect.com/threat-intelligence-platform/
これは、実際の脅威に対する防御能力を評価できるようにするための、敵対的エミュレーション計画のライブラリです。
エミュレーション計画は、特定の脅威による挙動に対して防御を優先させたい組織にとって不可欠な要素です。
このリソースに概説されているTTPは、特定の脅威アクターに対する組織の防御をテストするための具体的な脅威エミュレーション活動を設計するために使用できます。
リソースはこちらをご覧ください。
例（sandworm）
画像出典: https://github.com/center-for-threat-informed-defense/adversary_emulation_library
さまざまな種類のインシデントに対応するためのテンプレートやベストプラクティスを含む、インシデント対応計画を作成・維持するためのツール。
「NISTサイバーセキュリティフレームワーク（CSF）」は、組織がサイバーセキュリティリスクを管理するのを支援するために、米国国立標準技術研究所（NIST）が開発したフレームワークです。堅牢なサイバーセキュリティプログラムを実装・維持するための一連のガイドライン、ベストプラクティス、標準を提供します。
このフレームワークは、特定（Identify）、防御（Protect）、検知（Detect）、対応（Respond）、復旧（Recover）という5つの中核機能を中心に構成されています。これらの機能は、サイバーセキュリティリスクのさまざまな構成要素を理解し対処するための構造を提供します。
CSFは柔軟かつ適応性があるように設計されており、組織の特定のニーズや目標に合わせてカスタマイズできます。組織のサイバーセキュリティ態勢を改善し、サイバーセキュリティリスクをよりよく理解・管理するためのツールとして使用されることを意図しています。
役立つリンク:
重要インフラのサイバーセキュリティ改善のためのフレームワーク
インシデント対応計画とは、データ漏えいやサイバー攻撃などのセキュリティインシデントの影響を管理・軽減するために企業が導入する一連の手順です。
インシデント対応計画の背後にある考え方は、セキュリティインシデントに備え、効果的に対応できるように企業を支援することで、損害を最小限に抑え、将来再発する可能性を減らすことができるというものです。
企業がインシデント対応計画を必要とする理由はいくつかあります。
セキュリティインシデントの影響を最小限に抑える: インシデント対応計画は、企業がセキュリティインシデントの原因をできるだけ早く特定して対処するのに役立ち、損害を最小限に抑え、拡大の可能性を減らすことができます。
規制要件を満たす: 多くの業界では、企業にインシデント対応計画の策定を義務付ける規制があります。例えば、クレジットカード業界のデータセキュリティ基準（PCI DSS）では、クレジットカードを受け入れる加盟店やその他の組織にインシデント対応計画の策定を義務付けています。
評判を守る: セキュリティインシデントは企業の評判を損ない、顧客や収益の喪失につながる可能性があります。インシデント対応計画は、企業が状況を管理し、評判への損害を最小限に抑えるのに役立ちます。
セキュリティインシデントのコストを削減する: セキュリティインシデントのコストは、是正費用、弁護士費用、ビジネスの喪失など、多大になる可能性があります。インシデント対応計画は、インシデント対応のロードマップを提供することで、これらのコストを最小限に抑えるのに役立ちます。
役立つリンク:
National Cyber Security Centre - インシデント対応の概要
Cybersecurity and Infrastructure Security Agency - サイバーインシデント対応
画像出典: https://www.ncsc.gov.uk/collection/incident-management/incident-response
ランサムウェアは、被害者のファイルを暗号化する悪意のあるソフトウェアの一種です。攻撃者はその後、ファイルへのアクセスを復元するための身代金を被害者に要求します。これがランサムウェアという名前の由来です。
ランサムウェア対応計画の背後にある考え方は、企業がランサムウェア攻撃に備え、効果的に対応できるようにすることで、攻撃の影響を最小限に抑え、将来再発する可能性を減らすことができるというものです。
企業がランサムウェア対応計画を必要とする理由はいくつかあります。
ランサムウェア攻撃の影響を最小限に抑える: ランサムウェア対応計画は、企業がランサムウェア攻撃をできるだけ早く特定して対処するのに役立ち、損害を最小限に抑え、ランサムウェアが他のシステムに拡散する可能性を減らすことができます。
データ損失を防ぐ: ランサムウェア攻撃は重要なデータの喪失を引き起こす可能性があり、企業にとって多大なコストと混乱をもたらします。ランサムウェア対応計画は、企業が攻撃から回復し、データ損失を回避するのに役立ちます。
評判を守る: ランサムウェア攻撃は企業の評判を損ない、顧客や収益の喪失につながる可能性があります。ランサムウェア対応計画は、企業が状況を管理し、評判への損害を最小限に抑えるのに役立ちます。
ランサムウェア攻撃のコストを削減する: ランサムウェア攻撃のコストは、是正費用、弁護士費用、ビジネスの喪失など、多大になる可能性があります。ランサムウェア対応計画は、攻撃対応のロードマップを提供することで、これらのコストを最小限に抑えるのに役立ちます。
役立つリンク:
National Cyber Security Centre - マルウェアおよびランサムウェア攻撃の緩和
Cybersecurity and Infrastructure Security Agency - ランサムウェアガイド
Microsoft Security - ランサムウェア対応
画像出典: https://csrc.nist.gov/Projects/ransomware-protection-and-response
これは、危機に備え、危機における潜在的な損害を抑えるための、サイバーセキュリティの「応急処置」スタイルのガイダンスです。
これには、大規模なサイバーセキュリティインシデントの技術的、運用上、法的、およびコミュニケーション面に関するヒントとガイダンスが含まれています。
重要なポイント
論文はこちらで読めます。
画像出典: https://info.microsoft.com/rs/157-GQE-382/images/EN-US-CNTNT-emergency-doc-digital.pdf
セキュリティインシデント対応のためのツールとリソースの厳選リストで、セキュリティアナリストやDFIRチームを支援することを目的としています。
これは、インシデント対応のさまざまな側面に関するリンクが満載の優れたリソースです。次のようなものが含まれます。
リソースはこちらをご覧ください。
画像出典: https://github.com/meirwah/awesome-incident-response
ウイルス対策ソフトウェアやフォレンジック分析ツールなど、マルウェアを検出・分析するためのツール。
VirusTotalは、ファイル、URL、ソフトウェアをウイルス、ワーム、その他の種類のマルウェアについて分析・スキャンするウェブサイトおよびクラウドベースのツールです。
ファイル、URL、またはソフトウェアがVirusTotalに提出されると、このツールはさまざまなアンチウイルスエンジンやその他のツールを使用してマルウェアをスキャン・分析します。その後、分析結果を含むレポートを提供し、セキュリティ専門家やブルーチームが潜在的な脅威を特定して対応するのに役立ちます。
VirusTotalは、ファイルやURLの評判を確認したり、ネットワーク上の悪意のある活動を監視したりするためにも使用できます。
アクセス: https://www.virustotal.com/gui/home/search
使用方法:```bash
(type:doc OR type: docx) tag:macros p:5+ generated:30d+
days (type:xls OR type:xlsx) tag:powershell fs:10d+
entity:file magic:"HTML document text" tag:powershell have:itw_url
the response entity:url header_value:"Apache/2.4.41 (Ubuntu)" parent_domain:domain.org
entity:url ( title:"XY Company" or title:"X.Y. Company" or title:"XYCompany" ) p:5+
Full documentation can be found [here](https://support.virustotal.com/hc/en-us/categories/360000162878-Documentation).
[VTインテリジェンスチートシート](https://storage.googleapis.com/vtpublic/reports/VTI%20Cheatsheet.pdf)
*画像は https://www.virustotal.com/gui/home/search から使用*
### [🔙](#tool-list)[IDA](https://hex-rays.com/ida-free/)
IDA（Interactive Disassembler）は、コンパイル済みおよび実行可能なコードをリバースエンジニアリングして解析するための強力なツールです。
マルウェアを含むソフトウェアの内部動作を調査し、その機能を理解するために使用できます。IDAを使用すると、コードを逆アセンブルし、より高水準のプログラミング言語に逆コンパイルし、生成されたソースコードを表示および編集できます。これは、脆弱性の特定、マルウェアの分析、プログラムの動作の理解に役立ちます。
IDAは、コードの構造とフローを視覚化するグラフやチャートを生成するためにも使用でき、理解と分析が容易になります。
**インストール：**
IDAを[こちら](https://hex-rays.com/ida-free/#download)からダウンロードしてください。
**使用方法：**
[IDA実用チートシート](https://github.com/AdamTaguirov/IDA-practical-cheatsheet)
[IDAPythonチートシート](https://gist.github.com/icecr4ck/7a7af3277787c794c66965517199fc9c)
[IDA Proチートシート](https://hex-rays.com/products/ida/support/freefiles/IDA_Pro_Shortcuts.pdf)
*画像は https://www.newton.com.tw/wiki/IDA%20Pro から使用*
### [🔙](#tool-list)[Ghidra](https://ghidra-sre.org/)
Ghidraは、国家安全保障局（NSA）によって開発された、無料のオープンソースソフトウェアリバースエンジニアリングツールです。マルウェアを含むコンパイル済みおよび実行可能なコードの解析に使用されます。
Ghidraを使用すると、コードを逆アセンブルし、より高水準のプログラミング言語に逆コンパイルし、生成されたソースコードを表示および編集できます。これは、脆弱性の特定、マルウェアの分析、プログラムの動作の理解に役立ちます。
Ghidraには、デバッグ、コードグラフ、データ可視化など、SREタスクをサポートするさまざまな機能とツールも含まれています。GhidraはJavaで書かれており、Windows、MacOS、Linuxで利用できます。
**インストール：**
1. 最新のリリースを[こちら](https://github.com/NationalSecurityAgency/ghidra/releases)からダウンロードしてください。
2. zipを解凍します
インストールとエラー修正の詳細は[こちら](https://ghidra-sre.org/InstallationGuide.html#Install)をご覧ください。
**使用方法：**
1. 解凍したフォルダーに移動します```bash
# Windows
ghidraRun.bat
# Linux
./ghidraRun
If Ghidra failed to launch, see the Troubleshooting link.
画像出典: https://www.malwaretech.com/2019/03/video-first-look-at-ghidra-nsa-reverse-engineering-tool.html
Script Encoding は、かつて Microsoft によって、VBScript ファイルを読み取り・理解・改変できないようにするために導入されました。
エンコードされたスクリプトは読み取れないものの実行は可能なため、悪意のあるコード、IOC、ハードコードされた C2 ドメインなどを隠しつつ、実行を達成しようとする脅威アクターの間で人気のある仕組みとなっています。
decode-vbe スクリプトは、エンコードされた VBE ファイルを解析用に平文へ戻すために使用できます。
VBE ファイルに関する素晴らしいブログはこちら。
インストール:```bash git clone https://github.com/DidierStevens/DidierStevensSuite/ cd DidierStevensSuite
**使用方法:**```bash
# Decode literal string
decode-vbe.py "##@~^DgAAAA==\ko$K6,JCV^GJqAQAAA==^#~@"
# Decode hexadecimal (prefix #h#)
decode-vbe.py #h#23407E5E4467414141413D3D5C6B6F244B362C4A437F565E474A7141514141413D3D5E237E40
# Decode base64 (prefix #b#)
decode-vbe.py #b#I0B+XkRnQUFBQT09XGtvJEs2LEpDf1ZeR0pxQVFBQUE9PV4jfkA=
Pafish は、マルウェアファミリーと同じ方法で仮想マシンやマルウェア解析環境を検出するためにさまざまな手法を使用するテストツールです。
このプロジェクトは無料かつオープンソースであり、すべてのアンチ解析手法のコードが公開されています。Windows (x86 32ビットおよび64ビット) 向けの Pafish 実行可能ファイルは、リリースページ からダウンロードできます。
インストール: (ビルド)
Pafish は C で書かれており、Mingw-w64 と make でビルドできます。
ウィキページ「How to build」に詳細な手順が記載されています。
使用法:```bash pafish.exe
*画像提供: https://github.com/a0rtega/pafish*
### [🔙](#tool-list)[lookyloo](https://github.com/Lookyloo/lookyloo)
Lookyloo は、Webページをキャプチャし、相互に呼び出し合うドメインのツリーを表示するWebインターフェースです。
Lookyloo を使用すると、Webサイトのページがたどる経路をマッピングできます。初期URLアドレスの入力から、サードパーティの提携先へのさまざまなリダイレクトまでを追跡できます。
**インストール:**```bash
git clone https://github.com/Lookyloo/lookyloo.git
cd lookyloo
poetry install
echo LOOKYLOO_HOME="'`pwd`'" > .env
完全なインストール手順はこちらにあります。
使用方法:
インストールして実行すると、lookylooはローカルでホストされているWebインターフェースを介して操作できます。
画像出典: https://www.lookyloo.eu/
YARAは、マルウェア研究者がマルウェアサンプルを特定・分類するのを支援することを目的とした(ただし、これに限定されない)ツールです。YARAを使用すると、テキストまたはバイナリのパターンに基づいて、マルウェアファミリー(または説明したい任意のもの)の説明を作成できます。
各説明(別名ルール)は、一連の文字列と、そのロジックを決定するブール式で構成されます。
インストール:```bash tar -zxf yara-4.2.0.tar.gz cd yara-4.2.0 ./bootstrap.sh sudo apt-get install automake libtool make gcc pkg-config git clone https://github.com/VirusTotal/yara cd yara ./bootstrap.sh ./configure make sudo make install
完全なインストール手順は[こちら](https://yara.readthedocs.io/en/stable/gettingstarted.html#compiling-and-installing-yara)にあります。
**使用方法:**```bash
# Apply rule in /foo/bar/rules to all files in the current directory
yara /foo/bar/rules .
# Scan all files in the /foo directory and its subdirectories:
yara /foo/bar/rules -r /foo
便利なYARAチートシートはこちら。
画像は https://virustotal.github.io/yara/ から使用したものです
Cuckooは、オープンソースの自動マルウェア解析システムです。
これは、隔離されたオペレーティングシステム内で実行中のマルウェアが何を行うかを概説する包括的な解析結果を収集し、ファイルを自動的に実行・分析するために使用されます。
次の種類の結果を取得できます:
インストール:
インストールについては、こちらのドキュメントに従ってください。
使用方法:
使用方法については、こちらのドキュメントに従ってください。
Radare2は、リバースエンジニアリングの作業を容易にするためのライブラリ、ツール、プラグインのセットを提供します。
r2は、スクリプト対応の多機能な低レベルコマンドラインツールです。r2はローカルハードドライブ上のファイルを編集したり、カーネルメモリを表示したり、ローカルまたはリモートのgdbサーバー経由でプログラムをデバッグしたりできます。r2は幅広いアーキテクチャをサポートしているため、あらゆるバイナリを解析、エミュレート、デバッグ、変更、逆アセンブルできます。
インストール:```bash git clone https://github.com/radareorg/radare2 radare2/sys/install.sh
**使い方:**```bash
$ r2 /bin/ls # open the binary in read-only mode
> aaa # same as r2 -A, analyse the binary
> afl # list all functions (try aflt, aflm)
> px 32 # print 32 byte hexdump current block
> s sym.main # seek to the given offset (by flag name, number, ..)
> f~foo # filter flags with ~grep (same as |grep)
> iS;is # list sections and symbols (same as rabin2 -Ss)
> pdf; agf # print function and show control-flow-graph in ascii-art
> oo+;w hello # reopen in rw mode and write a string in the current offset
> ?*~... # interactive filter all command help messages
> q # quit
Great usage book here.
Image used from https://github.com/radareorg/radare2
dnSpyは、デバッガおよび.NETアセンブリエディタです。これを使用して、アセンブリの編集とデバッグを行うことができます。
主な機能:
インストール: (ビルド)```bash git clone --recursive https://github.com/dnSpy/dnSpy.git cd dnSpy ./build.ps1 -NoMsbuild
**使用方法:**```bash
dnSpy.exe
素晴らしいチュートリアルページはこちら。
画像出典: https://7d2dsdx.github.io/Tutorials/index.html?StartingdnSpy.html
悪意のあるネットワークトラフィックに関する2,200以上のブログ記事があるサイトです。このサイトのほぼすべての投稿には、pcapファイルまたはマルウェアサンプル（またはその両方）が含まれています。
このサイトには、脅威アクターが使用している技術を解説した技術ブログ記事を含む、多数のトラフィック分析演習も含まれています。
使用方法:
https://www.malware-traffic-analysis.net/ にアクセスしてください。
画像出典: https://www.malware-traffic-analysis.net/
損傷または破損したシステムやデバイスからデータを復旧するためのツール。
Recuvaは、コンピュータから削除されたファイルを復元するために使用できるデータ復旧ツールです。
削除されたログや、セキュリティインシデントの調査に使用できる文書など、貴重な情報を含む可能性のある削除ファイルの復元によく使用されます。
Recuvaは、ハードドライブ、USBドライブ、メモリカードからファイルを復元でき、WindowsおよびMacオペレーティングシステムで利用できます。
インストール:
ツールはここからダウンロードできます。
使用方法:
素晴らしいステップバイステップのガイドがあります。
画像出典: https://www.softpedia.com/blog/recuva-explained-usage-video-and-download-503681.shtml
Extundeleteは、ext3またはext4ファイルシステムから削除されたファイルを復元するために使用できるユーティリティです。
ファイルシステムを検索して、かつてファイルに属していたデータブロックを見つけ、そのデータブロックを使ってファイルの再作成を試みる仕組みです。誤って、または悪意を持って削除された重要なファイルを復元するためによく使用されます。
インストール:
ツールはここからダウンロードできます。
使用方法:```bash
--superblock
--restore-file path/to/deleted/file
--restore-all
完全な使用方法の情報は[こちら](https://extundelete.sourceforge.net/options.html)で確認できます。
*https://theevilbit.blogspot.com/2013/01/backtrack-forensics-ext34-file-recovery.html から使用した画像*
### [🔙](#tool-list)[TestDisk](https://www.cgsecurity.org/wiki/TestDisk_Download)
TestDiskは、失われたパーティションの復旧を支援し、起動しないディスクを再び起動可能にするために設計された、無料のオープンソースのデータ復旧ソフトウェアツールです。コンピュータフォレンジックとデータ復旧の両方に役立ちます。
誤って削除した場合、フォーマット、パーティションテーブルの破損など、さまざまな理由で失われたデータの復旧に使用できます。
TestDiskは、破損したブートセクタの修復、削除されたパーティションの復旧、失われたファイルの復元にも使用できます。FAT、NTFS、ext2/3/4など、幅広いファイルシステムに対応しており、破損しているディスクや、元々作成されたのとは異なるファイルシステムでフォーマットされたディスクからデータを復旧するために使用できます。
**インストール:**
ツールは[ここ](https://www.cgsecurity.org/wiki/TestDisk_Download)からダウンロードできます。
**使用方法:**
完全な使用例は[こちら](https://www.cgsecurity.org/wiki/Data_Recovery_Examples)。
[ステップバイステップガイド](https://www.cgsecurity.org/wiki/TestDisk_Step_By_Step)
[TestDisk ドキュメント PDF - 60ページ](https://www.cgsecurity.org/testdisk.pdf)
*https://www.cgsecurity.org/wiki/ から使用した画像*
デジタルフォレンジック
====================
*デジタルデバイスやシステムのフォレンジック調査を実施するためのツール。証拠の収集と分析のためのツールも含みます。*
### [🔙](#tool-list)[SANS SIFT](https://www.sans.org/tools/sift-workstation/)
SANS SIFT（SANS Investigative Forensic Toolkit）は、フォレンジック分析とインシデントレスポンスのための強力なツールキットです。
これは、Windows、Linux、Mac OS Xを含む幅広いシステムでフォレンジック分析を実行するために使用できる、オープンソースおよび商用ツールのコレクションです。SANS SIFTキットは、デジタル証拠のフォレンジック分析を実行するために使用される専用コンピュータであるフォレンジックワークステーション上で実行されるように設計されています。
SANS SIFTキットは、インシデントの調査、脅威への対応、侵害されたシステムのフォレンジック分析の実行に使用できる幅広いツールとリソースを提供するため、ブルーチームにとって特に役立ちます。
**インストール:**
1. [https://www.sans.org/tools/sift-workstation/](https://www.sans.org/tools/sift-workstation/) にアクセスします。
2. 'Login to Download' ボタンをクリックし、SANS Portalアカウントの認証情報を入力（または作成）して、仮想マシンをダウンロードします。
3. 仮想マシンを起動したら、以下の認証情報を使用してアクセスします。```
Login = sansforensics
Password = forensics
注記: ディスクイメージのマウント中にroot権限へ昇格するために使用します。
追加のインストールオプションはこちら。
使い方:```bash
rip.pl -r -f
deleted.pl
ewfmount image.E01 mountpoint mount -o
bulk_extractor -o output_dir
完全な使用ガイドは[こちら](https://www.sans.org/posters/sift-cheat-sheet/)。
*画像出典: https://securityboulevard.com/2020/08/how-to-install-sift-workstation-and-remnux-on-the-same-system-for-forensics-and-malware-analysis/*
### [🔙](#tool-list)[The Sleuth Kit](https://sleuthkit.org/sleuthkit/)
The Sleuth Kit は、ディスクイメージを解析し、そこからファイルを復元するために使用できるコマンドラインツールのコレクションです。
これは主に、コンピュータが押収された後、またはディスクのイメージが作成された後に、フォレンジック調査担当者がデジタル証拠を調査するために使用されます。セキュリティインシデント中に何が起こったのかを理解し、悪意のある活動を特定するのに役立つため、有用です。
The Sleuth Kit のツールは、削除されたファイルの抽出、ディスクパーティション構造の解析、および改ざんや異常な活動の証拠がないかファイルシステムを調査するために使用できます。
**インストール:**
ツールは[こちら](https://sleuthkit.org/sleuthkit/download.php)からダウンロードしてください。
**使用方法:**
[ドキュメント](https://sleuthkit.org/sleuthkit/docs.php)へのリンク。
*画像出典: http://www.effecthacking.com/2016/09/the-sleuth-kit-digital-forensic-tool.html*
### [🔙](#tool-list)[Autopsy](https://www.autopsy.com/)
Autopsy は、デジタルフォレンジックプラットフォームであり、The Sleuth Kit やその他のデジタルフォレンジックツールへのグラフィカルインターフェースです。
法執行機関、軍、企業の調査担当者が、コンピュータで何が起こったかを調査するために使用します。ディスクイメージの解析やファイルの復元に加え、システムおよびユーザー活動の特定にも使用できます。
Autopsy は、フォレンジック分析とインシデントレスポンスを実施するために、「ブルーチーム」(組織を攻撃から防御するサイバーセキュリティ専門家) によって使用されています。ブルーチームが攻撃の性質と範囲を理解し、コンピュータやネットワーク上で発生した可能性のある悪意のある活動を特定するのに役立ちます。
**インストール:**
ツールは[こちら](https://www.autopsy.com/download/)からダウンロードしてください。
**使用方法:**
[Autopsy ユーザーガイド](http://sleuthkit.org/autopsy/docs/user-docs/4.19.3//)
[SANS - AUTOPSY フォレンジックブラウザの使用入門](https://www.sans.org/blog/a-step-by-step-introduction-to-using-the-autopsy-forensic-browser/)
*画像出典: https://www.kitploit.com/2014/01/autopsy-digital-investigation-analysis.html*
Security Awareness Training
====================
*従業員やその他のユーザーに対し、潜在的なセキュリティ脅威を認識・防止する方法を訓練するためのツール。*
### [🔙](#tool-list)[TryHackMe](https://tryhackme.com/dashboard)
TryHackMe は、「ルーム」として知られるさまざまな仮想マシンを提供するプラットフォームで、実践的な学習を通じてサイバーセキュリティの概念とスキルを教えるように設計されています。
これらのルームはインタラクティブでゲーム化されており、ユーザーはチャレンジを解決してタスクを完了することで、Web の脆弱性、ネットワークセキュリティ、暗号化などのトピックについて学ぶことができます。
このプラットフォームは、ユーザーがスキルを練習し、さまざまな種類のサイバー脅威とその防御方法について学ぶための安全で管理された環境を提供するため、セキュリティ意識向上トレーニングによく使用されます。
[https://tryhackme.com/](https://tryhackme.com/) にアクセスしてアカウントを作成してください。
[TryHackMe - 入門ガイド](https://docs.tryhackme.com/docs/teaching/teaching-getting-started/)
**役立つリンク:**
[Pre-Security 学習パス](https://tryhackme.com/path-action/presecurity/join)
[サイバーセキュリティ入門学習パス](https://tryhackme.com/path-action/introtocyber/join)
利用可能なルームとモジュールの完全なリストについては、[hacktivities](https://tryhackme.com/hacktivities) タブを参照してください。
*画像出典: https://www.hostingadvice.com/blog/learn-cybersecurity-with-tryhackme/*
### [🔙](#tool-list)[HackTheBox](https://www.hackthebox.com/)
HackTheBox は、ハッキングスキルを練習し向上させるためのプラットフォームです。
実際のシナリオをシミュレートする一連のチャレンジで構成されており、それらを解決するにはさまざまなハッキング技術に関する知識を使う必要があります。これらのチャレンジは、ネットワークセキュリティ、暗号化、Web セキュリティなどのトピックに関する知識をテストするように設計されています。
HackTheBox は、セキュリティ専門家がスキルを練習して向上させる方法としてよく使用され、セキュリティ意識向上トレーニングの有用なリソースにもなります。チャレンジに取り組み、その解決方法を学ぶことで、個人は一般的なセキュリティ脅威を特定して軽減する方法をより深く理解できます。
[https://app.hackthebox.com/login](https://app.hackthebox.com/login) にアクセスしてアカウントを作成してください。
**役立つリンク:**
[ブログ - Hack The Box 入門](https://help.hackthebox.com/en/articles/5185158-introduction-to-hack-the-box)
[ブログ - Hack The Box でハッキングを学ぶ：初心者のバイブル](https://www.hackthebox.com/blog/learn-to-hack-beginners-bible)
[ブログ - Starting Point 入門](https://help.hackthebox.com/en/articles/6007919-introduction-to-starting-point)
*画像出典: https://www.hackthebox.com/login*
### [🔙](#tool-list)[CyberDefenders](https://cyberdefenders.org/)
CyberDefenders は、ブルーチームの専門家がサイバーセキュリティスキルを向上させるために設計された専用プラットフォームです。
このプラットフォームは、幅広い分野をカバーする実際のブルーチームラボを提供します。参加者は、インシデントレスポンス、デジタルフォレンジックス、スレットハンティングなどの分野で知識を活用して、これらのシナリオを進めることが推奨されます。
目標は、セキュリティオペレーションセンターで防御担当者が直面する複雑さを反映した実践的な学習環境を提供することです。
[https://cyberdefenders.org/](https://cyberdefenders.org/) にアクセスしてアカウントを作成してください。
**役立つリンク:**
[ブルーチームラボ](https://cyberdefenders.org/blue-team-labs/)
[Certified CyberDefender Certification](https://cyberdefenders.org/blue-team-training/courses/certified-cyberdefender-certification/)
### [🔙](#tool-list)[PhishMe](https://cofense.com/product-services/phishme/)
PhishMe は、組織が従業員にフィッシング攻撃を特定し防止する方法を教育するのを支援する、セキュリティ意識向上トレーニングを提供する企業です。
PhishMe のトレーニングプログラムは、従業員がフィッシングの試みを認識して報告する方法、およびこれらの種類の攻撃から個人用および仕事用アカウントを保護する方法を教えることを目的としています。
同社のトレーニングプログラムは、さまざまな組織のニーズに合わせてカスタマイズでき、オンラインコース、対面トレーニング、シミュレーションなど、さまざまな媒体で提供できます。
デモは[こちら](https://go.cofense.com/live-demo/)からリクエストできます。
**役立つリンク:**
[Cofense ブログ](https://cofense.com/blog/)
[Cofense ナレッジセンター](https://cofense.com/knowledge-center-hub/)
*画像出典: https://cofense.com/product-services/phishme/*
### [🔙](#tool-list)[kc7cyber](https://kc7cyber.com/)
KC7 は、ユーザーがデジタル探偵として行動し、シミュレートされたサイバー攻撃を調査できる、無料でゲーム化されたサイバーセキュリティトレーニングプラットフォームです。
事前の技術的経験を必要とせずに、ハッカーを追跡し、実際のログを表示し、悪意のある活動を発見できます。
業界に不慣れな人や職場実習中の人に適しています。
[ダッシュボード](https://kc7cyber.com/dashboard)にアクセスし、「Continue as Guest」を選択してプレイを開始してください。
*画像出典: https://kc7cyber.com/*
Communication and Collaboration
====================
*インシデント発生時にチームメンバーと調整・通信するためのツール。チャット、電子メール、プロジェクト管理ソフトウェアなどが含まれます。*
### [🔙](#tool-list)[Twitter](https://twitter.com/)
Twitter は、サイバーセキュリティに関する情報を共有するための優れたプラットフォームです。
これは、セキュリティ専門家、研究者、エキスパートによって広く使用されているプラットフォームであり、無限の新しい情報にアクセスできます。
フォローすべき素晴らしいアカウント:
- [@vxunderground](https://twitter.com/vxunderground)
- [@Alh4zr3d](https://twitter.com/Alh4zr3d)
- [@3xp0rtblog](https://twitter.com/3xp0rtblog)
- [@C5pider](https://twitter.com/C5pider)
- [@_JohnHammond](https://twitter.com/_JohnHammond)
- [@mrd0x](https://twitter.com/mrd0x)
- [@TheHackersNews](https://twitter.com/TheHackersNews)
- [@pancak3lullz](https://twitter.com/pancak3lullz)
- [@GossiTheDog](https://twitter.com/GossiTheDog)
- [@briankrebs](https://twitter.com/briankrebs)
- [@SwiftOnSecurity](https://twitter.com/SwiftOnSecurity)
- [@schneierblog](https://twitter.com/schneierblog)
- [@mikko](https://twitter.com/mikko)
- [@campuscodi](https://twitter.com/campuscodi)
### [🔙](#tool-list)[Facebook TheatExchange](https://developers.facebook.com/docs/threat-exchange/getting-started)
Facebook ThreatExchange は、セキュリティ専門家がサイバー脅威に関する情報を共有および分析するためのプラットフォームです。
これは、組織が脅威インテリジェンスをプライベートかつ安全な方法で相互に共有できるようにすることで、脅威をより適切に防御するのに役立つように設計されました。
これは、組織のセキュリティを担当し、サイバー脅威を防止、検出、対応するために活動する「ブルーチーム」による使用を目的としています。
**使用方法:**
ThreatExchange へのアクセスをリクエストするには、[https://developers.facebook.com/products/threat-exchange/](https://developers.facebook.com/products/threat-exchange/) から申請を提出する必要があります。
**役立つリンク:**
[ThreatExchange へようこそ!](https://developers.facebook.com/docs/threat-exchange/getting-started)
[ThreatExchange UI 概要](https://developers.facebook.com/docs/threat-exchange/ui)
[ThreatExchange API リファレンス](https://developers.facebook.com/docs/threat-exchange/reference/apis)
[GitHub - ThreatExchange](https://github.com/facebook/ThreatExchange/tree/main/python-threatexchange)