AV/EDRラボ環境セットアップ

当初はMaldev Academy Discordから取得し、さらにリソースを追加しました。

Notionノート : https://an0nud4y.notion.site/AV-EDR-Lab-Env-Setup-130bc870022d8071935cc682d3eb34b9?pvs=4

有料EDRが持つ特定の機能をエミュレートするために使用できるものの例:
- SACL - sysmon
- フック
  - bitdefender free : https://otterhacker.github.io/Malware/Function hooking.html
  - HookDetector（フックされたすべてのAPIを検出） : https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
  - TelemetrySourcerer（AV/EDRが使用する一般的なテレメトリソース（ETW、ユーザーモードフック、カーネルコールバックを含む）を列挙および無効化） : https://github.com/jthuraisamy/TelemetrySourcerer
- ユーザーモードからの手動syscallの検出
  - https://github.com/jackullrich/syscall-detect
  - Windows上で手動syscallの実行を識別するために現在のプロセスをフック : https://github.com/paranoidninja/Process-Instrumentation-Syscall-Hook
  - Hunt-Weird-Syscalls : https://github.com/thefLink/Hunt-Weird-Syscalls
- PROCESS/PESCAN
  - Yapscan - できるだけ多くのyaraルールを収集する
  - DetectItEasy(DIE) : https://github.com/horsicq/Detect-It-Easy
- AMSIプロバイダー
  - AMSIプロバイダー : https://github.com/jborean93/AmsiProvider
- ETW-TI/ETW プロバイダー/コンシューマー -
  - silketw : https://otterhacker.github.io/Malware/ETW.html
  - ETWInspector : https://github.com/jsecurity101/ETWInspector
  - プロセスのETWプロバイダーを一覧表示 : https://github.com/whokilleddb/ETWListicle
  - KrabsETW（Microsoft ETWコンシューマー） : https://github.com/microsoft/krabsetw
  - BlueKrabsETW（ブルーチーム向け、microsoftのKrabsETWベース） : https://github.com/threathunters-io/bluekrabsetw
  - SealighterTI（脅威インテリジェンスETWプロバイダー） : https://github.com/pathtofile/SealighterTI
  - TiEtwAgent（ETW-TIに基づくメモリインジェクションを検出） : https://github.com/xuanxuan0/TiEtwAgent
  - PyWinTrace（ETW Pythonライブラリ） : https://github.com/fireeye/pywintrace
  - EtwExplorer（ETWプロバイダーのマニフェストを表示） : https://github.com/zodiacon/EtwExplorer
  - TelemetrySourcerer（AV/EDRが使用する一般的なテレメトリソース（ETW、ユーザーモードフック、カーネルコールバックを含む）を列挙および無効化） : https://github.com/jthuraisamy/TelemetrySourcerer
  - MentalTi（ETWTiパーサー） : https://github.com/mannyfred/MentalTi
  - PockETWatcher : https://github.com/olafhartong/PockETWatcher
  - ETWリソース
    - EVTX/ETW（Event Tracing for Windows）を学び理解するためのリソースが含まれています : https://github.com/nasbench/EVTX-ETW-Resources
- カーネルコールバック -
  - Elastic
  - Sysmon
  - TelemetrySourcerer（AV/EDRが使用する一般的なテレメトリソース（ETW、ユーザーモードフック、カーネルコールバックを含む）を列挙および無効化） : https://github.com/jthuraisamy/TelemetrySourcerer
- Capa - 機能スキャニング
- API呼び出しのトレース - TinyTracer
  - https://github.com/hasherezade/tiny_tracer
マルウェア開発向けにWindowsテレメトリを収集
- ETW、ETW-TI、カーネルコールバック、フック、コールスタック、ロード済みDLL、PEBなどのテレメトリを収集） : https://github.com/dobin/RedEdr , RedEDR UI (https://github.com/dobin/RedEdrUi) （著者の他のプロジェクトも確認してください）
無料トライアルEDR/AV製品
- Microsoft Defender For Endpoint
  - https://medium.com/@hackenbacker/creating-a-defender-for-endpoint-lab-for-free-695044b75bd6
  - https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-trial-user-guide
- Sophos XDR（トライアル）
- Elastic EDR
- TrendMicro
- McAfee MVISION
- Avast
- openEDR - Comodo無料EDR
- Wazuh : https://github.com/wazuh/wazuh
- Huntress Managed EDR - （15日間の無料トライアル、クレジットカード不要、リアルタイムSOCアナリストによる重要度「高/重大」のインシデントレポート3件） : https://www.huntress.com/edr-free-trial
オープンソースEDR
- RedEDR : https://github.com/dobin/RedEdr
- SimpleEDR - 検出の機会を見つけるための手動DLLフッキング : https://github.com/Helixo32/SimpleEDR
- CrimsonEDR : https://github.com/Helixo32/CrimsonEDR
- OpenEDR : https://github.com/ComodoSecurity/openedr/
- InjDrv : https://github.com/wbenny/injdrv
- MyDumbEDR : https://github.com/sensepost/mydumbedr
- BestEDROfTheMarket : https://github.com/Xacone/BestEdrOfTheMarket
- JonMon : https://github.com/jsecurity101/JonMon
- SylantStrike : https://github.com/CCob/SylantStrike
- Whids : https://github.com/0xrawsec/whids
- 独自のEDRを作成する
オープンソースEDRの比較（@dobin による）
イメージロードイベントスキャナー
- Hunt-Weird-ImageLoads : https://github.com/thefLink/Hunt-Weird-ImageLoads
プロセスメモリスキャナー
- PE-sieve : https://github.com/hasherezade/pe-sieve
- Moneta : https://github.com/forrest-orr/moneta
- YapScan : https://github.com/fkie-cad/yapscan
- MalMemDetect : https://github.com/waldo-irc/MalMemDetect
- Patriot : https://github.com/joe-desimone/patriot
- Hunt-Sleeping-Beacons : https://github.com/thefLink/Hunt-Sleeping-Beacons
- YaraMemoryScanner : https://github.com/BinaryDefense/YaraMemoryScanner
- Cobalt Strikeビーコン検出専用スキャナー
  - BeaconEye : https://github.com/CCob/BeaconEye
  - BeaconHunter : https://github.com/3lp4tr0n/BeaconHunter
- EtwTi-FluctuationMonitor - VirtualAlloc(RWX)を実行するとCFGビットマップがそれに応じて変更され、その後VirtualAlloc(RW)を実行してもCFGは同じままになる : https://github.com/jdu2600/EtwTi-FluctuationMonitor
  - https://github.com/jdu2600/CFG-FindHiddenShellcode
  - https://github.com/jdu2600/Etw-SyscallMonitor
- TiEtwAgent（ETW-TIに基づくメモリインジェクションを検出） : https://github.com/xuanxuan0/TiEtwAgent
シグネチャ検出バイパス
- ThreatCheck : https://github.com/PACHAKUTlQ/ThreatCheck
- AvRed : https://github.com/dobin/avred

マルウェア開発マシンのセットアップ

マルウェア作成中にWindowsのテレメトリが気になる場合は、Windowsの使用を避けてください。
Tiny11Builder（テレメトリを含むWindowsの不要なコンポーネントを多数削除するため）（こちらから引用） : https://github.com/ntdevlabs/tiny11builder

AV/EDRの内部構造/ テレメトリ/ベンチマーク/動作

EDRの内部構造
- Matt Hand - Evading EDR（書籍）
- EDRの仕組み（The Anti-EDR Compedium） : https://blog.deeb.ch/posts/how-edr-works/
EDRの内部構造/動作に関する講演
EDRテレメトリ - 様々なEDRテレメトリ : https://github.com/tsale/EDR-Telemetry
- https://www.edr-telemetry.com/
- EDRテレメトリのスプレッドシート : https://docs.google.com/spreadsheets/u/1/d/1ZMFrD6F6tvPtf_8McC-kWrNBBec_6Si3NW6AoWf3Kbg/htmlview
Defender Harvester : https://github.com/olafhartong/DefenderHarvester
EDRフック一覧 : https://github.com/Mr-Un1k0d3r/EDRs
- HookDetector（フックされたすべてのAPIを検出） : https://github.com/matterpreter/OffensiveCSharp/tree/master/HookDetector
Polonium : Binary-Offensive（@mariuszbit）によるModern Initial Access and Evasion Tacticsコースのツール。https://github.com/sponsors/mgeeky
EDRフックテレメトリ
- 出典 : https://github.com/helviojunior/hookchain/blob/main/HookChain_en_v1.5.pdf

謝辞

初期リストを提供してくれたMaldevAcademy Discordメンバーに感謝します。
追加リソースのリストとオープンソースEDR比較表を提供してくれた@dobin に感謝します。
Huntress Managed EDRトライアルの提供について共有してくれた@fin3ss3g0d に感謝します。

人気

AV-EDR-Lab-Environment-Setup