DeepBlueCLI

DeepBlueCLI - Windowsイベントログを介した脅威ハンティングのためのPowerShellモジュール

Eric Conrad, Backshore Communications, LLC

deepblue at backshore dot net

Twitter: @eric_conrad

http://ericconrad.com

サンプルのEVTXファイルは.\evtxディレクトリにあります

注: DeepBlueCLIをダウンロード後にウイルス対策ソフトが反応する場合、それはおそらく.\evtxディレクトリ内のEVTXファイル（悪意のある攻撃のコマンドラインログなどを含む）に反応しているためです。EVTXファイルは無害です。ウイルス対策ソフトでDeepBlueCLIディレクトリを無視するよう設定する必要があるかもしれません。

目次

• 使い方
• 処理されるWindowsイベントログ
• 検出されるイベント
• 例
• 出力
• ログ設定
• DeepBlue.pyの詳細についてはDeepBlue.py Readmeを参照してください
• DeepBlueHash（Sysmonイベントログを使用した防御的セーフリスト）の詳細についてはDeepBlueHash Readmeを参照してください

使い方:

.\DeepBlue.ps1 <イベントログ名> <evtxファイル名>

実行ポリシーが無効になっているというエラーが表示される場合は、Set-ExecutionPolicy Readmeを参照してください。

ローカルWindowsセキュリティイベントログの処理（PowerShellは管理者として実行する必要があります）:

.\DeepBlue.ps1

または:

.\DeepBlue.ps1 -log security

ローカルWindowsシステムイベントログの処理:

.\DeepBlue.ps1 -log system

evtxファイルの処理:

.\DeepBlue.ps1 .\evtx\new-user-security.evtx

処理されるWindowsイベントログ

• Windows セキュリティ
• Windows システム
• Windows アプリケーション
• Windows PowerShell
• Sysmon

処理されるコマンドラインログ

これらのログを構成する方法については、以下のログ設定セクションを参照してください。

• Windows セキュリティ イベントID 4688
• Windows PowerShell イベントID 4103 および 4104
• Sysmon イベントID 1

検出されるイベント

• 疑わしいアカウント動作
  • ユーザー作成
  • ローカル/グローバル/ユニバーサルグループへのユーザー追加
  • パスワード推測（複数のログオン失敗、単一アカウント）
  • パスワードスプレー（複数のログオン失敗、複数アカウント）
  • 明示的な資格情報を使用したパスワードスプレー
  • Bloodhound（管理者権限が複数のセキュリティIDで同じアカウントに割り当てられた）
• コマンドライン/Sysmon/PowerShell監査
  • 長いコマンドライン
  • 正規表現検索
  • 難読化されたコマンド
  • WMICまたはPsExecを介して起動されたPowerShell
  • PowerShell Net.WebClient Downloadstring
  • 圧縮/Base64エンコードされたコマンド（自動解凍/デコード付き）
  • 署名なしEXEまたはDLL
• サービス監査
  • 疑わしいサービスの作成
  • サービス作成エラー
  • Windowsイベントログサービスの停止/開始（イベントログ操作の可能性）
• Mimikatz
  • lsadump::sam
• EMET および AppLocker ブロック

...その他

例

出力

DeepBlueCLIはPowerShellオブジェクトとして出力し、JSON、HTML、CSVなど様々な出力方法とタイプを可能にします。

例:

ログ設定

セキュリティイベント4688 (コマンドライン監査):

Windowsコマンドライン監査を有効にする: https://support.microsoft.com/en-us/kb/3004375

セキュリティイベント4625 (ログオン失敗):

ログオン失敗の監査が必要: https://technet.microsoft.com/en-us/library/cc976395.aspx

PowerShell監査 (PowerShell 5.0):

DeepBlueCLIはモジュールログ記録 (PowerShellイベント4103) とスクリプトブロックログ記録 (4104) を使用します。文字起こしは使用しません。

参照: https://www.fireeye.com/blog/threat-research/2016/02/greater_visibilityt.html

Windows 7からWindows 8.1でPowerShellのコマンドライン（スクリプトブロックだけでなく）を取得するには、\Windows\System32\WindowsPowerShell\v1.0\profile.ps1に以下を追加します。

$LogCommandHealthEvent = $true
$LogCommandLifecycleEvent = $true

詳細は以下を参照してください:

• https://logrhythm.com/blog/powershell-command-line-logging/
• http://hackerhurricane.blogspot.com/2014/11/i-powershell-logging-what-everyone.html

謝辞: @heinzarelli および @HackerHurricane

Sysmon

SysinternalsからSysmonをインストール: https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon

DeepBlueとDeepBlueHashは現在、Sysmonイベント1、6、7を使用しています。

SHA256ハッシュを記録してください。他の形式でも問題ありませんが、DeepBlueHashはSHA256を使用します。