Offensive SIEM
SIEMを攻撃的発見ツールとして活用するための実践的なテクニック。防御側が攻撃者のように考え、内側からセキュリティを強化することを支援します。
クエリ
上記を参照 - queries.md ファイル。
必要に応じて更新を続けます。異なる event.codes/event.providers を使用して、レイヤーごとにカバレッジを重ねることが狙いです。
- 2026年2月に環境変数PATHS、カーネルドライバー、ログオン/スタートアップスクリプトなどのクエリを公開しました！
- 2026年3月にOpenSSLライブラリ、およびバイナリパスが欠落したスケジュールタスク/サービスに関するクエリを公開しました！
脆弱性管理
脆弱性管理用のクエリは vulnerabilitymanagement.md ファイルにあります。
どのように列挙できるかのイメージがつかめます
- Windows OSのバージョンとビルド状態
- Attack Surface Reduction (ASR) ルールと設定ミュレーションの発見
- Windows Defenderの除外設定と設定ミスの発見
- Windows Applockerルールと設定ミスの発見
何か見つけたら連絡してください
プレゼンテーションを気に入っていただけたら幸いです。この手法を使って脆弱性を見つけたら（見つけるときと言ったほうがいいでしょうか）連絡してください。「あなたのクエリの一つが良いものを捕まえた」といったシンプルなメッセージでも十分です :) ping.md ファイルにコミットするか、別の方法で連絡してください！あなたの成功を共有できれば嬉しいです！
一般情報
このリポジトリは、攻撃的マインドセットを持つための助けになります。
リポジトリは、プレゼンテーションで話した資料とクエリを共有するためのものです：
Offensive SIEM - When The Blue Team Switches Perspective
SEC-T 2025年9月
⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY
x33fcon 2026年6月に更新されたトークで、いくつかの新しい領域をカバー
⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L
最も興味深いACL関連の部分を含め、ヒントとコツも用意しています。
Windowsのローカル特権昇格とWindowsエンドポイントの設定ミスに関する優れたウェビナーもぜひご覧ください。さらに詳しく調べるべき領域はまだあります。これはほんの出発点です。他の領域で良いクエリを構築したら、コミュニティのより多くの人が使えるよう、ぜひ共有してください。
⭐マークの付いたクエリは特に高い関連性があります。
下記の⭐マークの付いたトピックは本当に優れたコンテンツです。
ウェビナー
Oddvar Moes Windows Client Privilege Escalation ⭐
必見です。特にバイナリ、サービス、スケジュールタスクのACLについて。
Spencers Windows Endpoint Misconfigs ⭐
トピック2（安全でないインストール/設定ソフトウェア）とトピック5（安全でないサービスとタスク）
password: P3yGQ+1y
Windows特権昇格に関連するその他の情報
DLLハイジャック
PATHエントリとシステムPATH内のユーザー書き込み可能ディレクトリ --> DLLハイジャック
SCCM / Software Center ⭐
どれだけ多くの設定ミスのあるソフトウェアが見つかったかについての興味深い読み物です。Offensive SIEMを使えば同じ比率で見つかる可能性が高いでしょう！
任意ファイル削除 --> ローカル特権昇格
その他のファイル操作
ログオンスクリプト
カーネルドライバーと特権昇格
OpenSSLのopenssl.cnfと特権昇格
NSISインストーラー/アンインストーラーの脆弱性
DotLocalリダイレクションの脆弱性
プレゼンテーションではカバーしていないが、いくつかクエリを用意している興味深い調査領域の例
- command_line内の弱いパスワード - ベストプラクティス/ポリシーに従っていないもの
- powershell管理スクリプトのscriptblockイベントコード4104内の弱いパスワードや機密情報。検索文字列："SecureString"、"PSCredential"、"Password"、"passwd"......
- レジストリ内の弱いパスワード - ベストプラクティス/ポリシーに従っていないもの
- passwords.txt、passwords.xslx、unattend.xmlなど、機密情報を保持する典型的なファイルの作成/削除
- レジストリ内のAlwaysInstallElevated、Autologons（パスワードが設定されているか確認）
- Windows特権 - 4672（特別な特権でのログオン）と4704/4705（権利の割り当て/削除）を確認
- イベントコード5136と5137、ADオブジェクト.. フィールドdescription、info、adminCommentを確認し、平文パスワードがないか調べる。
- プロセス作成イベントを使用し、sc.exeがsdsetを使ってサービスのセキュリティ記述子を設定しているもの、またはsysmonのレジストリイベントコード13を探し、ACL値（SDDLのバイナリ形式）を確認して読み取り可能なACLに変換し、サービス自体に設定された弱いACL権限を探す。
- Program Filesや同様の管理者保護ディレクトリが常に正しいACL（アクセス制御リスト）を持っていると仮定しないこと。アプリケーションが誤ったデフォルト権限を設定し、あまりにも寛容すぎることが実際に起こります。CWE-732、CWE-284、CWE-276
- ユーザー書き込み可能なパスでプロセスを実行している「Network ServiceまたはLocal Service」アカウントのSeImpersonatePrivilegeトークン --> SYSTEMを取得するPotato系攻撃
- ネットワーク共有からスクリプトを実行し、Domain Adminとして実行しているスケジュールタスクで、スクリプト自体が一般ユーザー/広範なユーザーによって書き込み可能なもの。
- などなど..
その他の種類の脆弱性
- ウェブサーバーログでパラメータ（language=en.html）を検索し、LFI/RFIをテストするためのファイルインクルージョンを示すものを探す
- アプリケーションログでSQL関連のエラーを検索し、不正な文字によるエラーを示すものを探す..
- 一般的に悪用されるAD属性（例：event.code:"5136" かつ Attribute:"msDS-KeyCredentialLink"）。設定ミスを見つけてADを強化する。
- Linux
などなど..
Filip WozniaksのOffensive SIEMワークフロー - ES|QL、OSQuery、EDRなどを使用し、このマインドセットで脆弱な状態を検証する。 ⭐
その他のリンク ⭐
Cルートドライブにインストールされたソフトウェア ⭐
SYSMONのevent.code 1、またはevent.code 4688（あるいはサービス、スケジュールタスク、CルートサブフォルダからのDLLロードのevent.codes）を使用してプロセス作成クエリを作成します。
C:\ ルートドライブにインストールされているアプリケーションを探します。
例:
C:\myapplication\myapplication.exe
C:\myapp\subfolder\myapp.exe
C:\SoftwareCompany\software.exe
C:\myapplication\myapplication.dll
C:\myapp\subfolder\myapp.dll
C:\SoftwareCompany\software.dll
Cルートフォルダにインストールされたアプリケーションの問題は、デフォルトで誤ったACL権限を持ち、Authenticated Usersがフォルダと場合によってはそのファイルを変更（M）できることです。ソフトウェアのインストールプロセスでACLが修正されない場合、サービスまたは別の高権限プロセスがCルートのサブフォルダ内のインストールパスの一つから（例：myapplication.exeまたはmyapp.exe）起動していると、特権昇格につながる可能性が高いです（確認してください）。
サービス - 攻撃的マインドセットを使う ⭐
どのイベントコードを使うべきか、イベントコード自体で何が見えるかのイメージがつかめます。
レジストリハイブ
- HKLM\SYSTEM\CurrentControlSet\Services<Service>\Security
