インシデントマイクロポストモーテム — Microsoft SharePoint (オンプレミス) 「ToolShell」キャンペーン

このキットは、2025年半ばの「ToolShell」ゼロデイキャンペーンをオンプレミスのMicrosoft SharePoint Serverに対してトリアージします。SharePoint Onlineは対象外です。外部データに依存せず、エンドツーエンドの再現可能なハンティング、コミュニケーション、図を提供します。

このリポジトリの存在理由: 再現可能な検出と整合性のある経営陣向けコミュニケーションにより、アナリストのトリアージを加速します。

スコープと前提条件

• オンプレミスのMicrosoft SharePoint Serverのみ。
• 攻撃フローの推測: インターネットに公開されたSharePoint/IIS → 細工されたデシリアライゼーション/ViewStateの悪用 → ウェブシェルの展開 → 潜在的なmachineKey/ValidationKeyの窃取 → トークンの偽造 → RCE/ラテラルムーブメント。
• 合成データのみで、実際の組織のテレメトリや独自のIOCは含まれません。

ATT&CKスナップショット

強調されるテクニック: T1190 (公開アプリケーションの悪用), T1059.001 (PowerShell), T1505.003 (ウェブシェル), T1078 (有効なアカウント), T1027 (難読化/複雑化されたファイル), T1003 (OS資格情報のダンプ), T1082 (システム情報の探索), T1021 (リモートサービス), T1071 (アプリケーション層プロトコル), T1567 (ウェブサービス経由の外部送信)。

重要なログ（表）

今すぐ実行すべきハント

• hunts/w3wp_powershell_encodedcommand.kql · SPL · Sigma: IISワーカーから起動されたエンコードされたPowerShellをキャッチします。
• hunts/sharepoint_webshell_filecreate.kql · SPL · Sigma: SharePoint Webルート内の予期しない.aspxファイルを特定します。
• hunts/dns_newly_seen_post_iis_anomaly.kql · · : IIS異常と不審なIIS子プロセスに続く低頻度のDNSドメインを浮かび上がらせます。

このリポジトリで再現する方法

• 各ハントに対応する代表的なWindows Security 4688、Sysmon 11、DNSエントリ（ベニンノイズを含む）については、samples/example_events.jsonを確認してください。
• 期待される出力（要約）:
  • PowerShell起動ハント: アプリケーションプールサービスアカウントのAccount、-encを含むCommandLine、3件の悪意のあるヒットと1件の良性の管理者スクリプトのメモ。
  • ウェブシェルファイル作成ハント: 攻撃時間中に\inetpub\wwwroot\wss\VirtualDirectories\80\Layouts\の下に2つの.aspxパスを示す集計と、良性のデプロイメントエントリ。
  • DNS新規検出ハント: IISホストIPに関連付けられたドメインcdn-msupdate.example、toolshare-sync.exampleで24時間の総クエリ数が<5、しきい値処理で無視される1つの良性の企業CDNドメイン。
• 誤検知の調整: 許可リストを文書化された管理者自動化ウィンドウ、デプロイメント変更チケット、既知のCDNドメイン、スクリプト化されたメンテナンスタスクに合わせます。プラットフォームの標準に基づいて時間ビンと頻度しきい値を調整し、ベースライン比較を介してサービスアカウントの動作を追跡します。

最初の4時間 — コミュニケーションプラン

• 送信準備済みのテンプレートとプレースホルダーについては、comms/first_4h.mdを参照してください。
• 頻度: T+0〜30 トリアージ通知（ステークホルダー調整済み）、T+30〜120 毎時のスコーピングスタンドアップ、T+120〜240 封じ込めステータスとデシジョンツリーに沿ったエグゼクティブブリーフ。
• デシジョンツリーのビジュアル: figures/decision-tree.pngはコミュニケーションパック内のASCIIロジックを反映しています。

反証可能性と制限

• IISアプリケーションプールの自動化が正当にエンコードされたスクリプトでPowerShellを起動する場合（例: DevOpsツール）、PowerShellハントがトリガーされます。メンテナンス許可リストを維持し、既知の自動化アカウントを追跡してください。
• 攻撃者による迅速なクリーンアップや代替ツール（例: アンマネージCLRウェブシェル、C#アセンブリ）は、特にSysmonのカバレッジが不完全または改ざんされやすい場合、ファイル作成テレメトリを回避する可能性があります。

将来の作業（オプション）

SharePoint関連アプリ向けのAppSecガードレール: マシンキーのシークレットスキャン、危険なデシリアライゼーションパターンのCIチェック、ビルドパイプライン中のWebルート整合性監視。

ソース（引用なし、一般参照）

• Microsoftセキュリティガイダンス（オンプレミス範囲）: https://www.microsoft.com/en-us/msrc/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770
• NVD CVE（2025年半ばSharePointオンプレミス）: https://nvd.nist.gov/vuln/detail/CVE-2025-53770
• CISA勧告/MAR（2025年半ばSharePoint）: https://www.cisa.gov/news-events/analysis-reports/ar25-218a

ベンダー調査:

• Unit 42 — https://unit42.paloaltonetworks.com/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/
• SentinelOne — https://www.sentinelone.com/blog/sharepoint-toolshell-zero-day-exploited-in-the-wild-targets-enterprise-servers/
• Trend Micro — https://www.trendmicro.com/en_us/research.html （検索: “SharePoint ToolShell CVE-2025-53770”）

ビルド後の注意事項 — ライブSIEM/EDRへの適応方法

• ローカルデータモデル（例: m365:security, wineventlog）に一致するようにインデックス/テーブル名（index=*, SecurityEvent, Sysmon）を更新します。
• プレースホルダーフィールド（Account, ClientIP, TargetFilename）を環境固有のエイリアスまたは正規化スキーマ（例: user, ip_src, file_path）に置き換えます。
• タイムゾーンの整合性を確認し、ago(24h)または最も早いウィンドウをフリートの保持期間と検出レイテンシに合わせて調整します。
• 環境固有の許可リスト（サービスアカウント、デプロイメントホスト）を埋め込み、攻撃者のカバレッジを維持しながらノイズを低減します。