研修内容

このコースは、初動対応編で確認したマルウェア（※1）をベースに、Windows環境において侵害状況を判断する上で必要となる基本的な流れを演習形式で学びます。標的型攻撃（※2）などで利用される一般的な攻撃手口（※3）に対して、初期調査の項目例としては、NTFS USNジャーナルの解析、簡易的なファイルシステム・タイムラインの追跡、レジストリ内のプログラム実行痕跡、メモリ内の文字列痕跡、イベントログにおけるログオン状況の調査などが必要となります。本格的なコンピュータ・フォレンジック調査を実施する前段階として、早期に侵害状況を把握するための簡易的な調査手法と共に、被害拡大を抑止するために必要な影響範囲の判断方法などについても学びます。

※1 RAT：Remote Access Trojan/Remote. Administration Tool
※2 APT：Advanced Persistent Threat
※3 TTPs：Tactics, Techniques and Procedures

1.NTFSジャーナル
・インシデント発生状況確認時のNTFS ジャーナルファイルの調査
・インシデント発生時のファイルシステム確認方法
2.タイムライン（ファイルシステム）
・ファイルシステムのタイムラインを用いた時系列でのインシデント発生状況確認方法
- flsコマンドを利用したタイムライン作成
- bodyファイルの処理（mactime、log2timeline）
- ファイルシステム タイムラインの確認
3.プログラム実行痕跡（プリフェッチ）
・実行されたプログラムの確認方法
- ファイルシステムの実行痕跡（プリフェッチ・ファイル等）
4.プログラム実行痕跡（レジストリ）
・レジストリに保存されているプログラムの実行痕跡
- UserAssist
- AppCompatCache
- Amcache
5.イベントログ（セキュリティ）
・痕跡の確認方法
- アカウント情報の不正利用
- 横展開（Lateral Movement）
6.認証情報の不正利用
・Windowsが利用している認証情報の取得
- メモリ
- SAM
- Windows資格情報コンテナー
・アカウントの不正利用
7.メモリイメージの分析
・取得したメモリイメージの分析
・メモリ内から得られる痕跡の確認方法
8.ファイルカービング
・ファイルが持つ固有のシグネチャ（ヘッダ・フッタ パターン）を利用したファイルの識別方法
・カービングによるファイル復元の方法
- ファイルのシグネチャ確認
- カービングによる削除ファイルの復元