もう困らない。流行りの攻撃の痕跡をsysmonとSplunkでさくっと確認。

はじめに
----
- 突然やってくる攻撃キャンペーン
- 参照元：JPCERT/CC Eyes
![スクリーンショット 2020-01-21 19.03.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/3870e029-f3ae-ec59-3b3a-849733a70211.png)

- 対岸の火事？自分たちは大丈夫なのか？
- 攻撃の痕跡情報を手に入れたらSplunkとsysmonで調査して安全確認をしよう

sysmon活用までの流れ（おさらい）
----
- sysmonとSplunkで何が嬉しいのか？はこちら
    - [概要編](https://qiita.com/odorusatoshi/items/cb9e1cad00b5eb9efe9b)
- sysmonとSplunk導入、活用編はこちら
    - [導入編](https://qiita.com/odorusatoshi/items/35177f0093b94b439f2e#_reference-9f16820ebc1aa89db4b4)
    - [活用編](https://qiita.com/odorusatoshi/items/3180457b64f6869e59ea#_reference-02853e21a44dc4a1b8f9)
 
痛みのピラミッド
----

<img width="976" alt="スクリーンショット 2020-01-21 19.14.29.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/2fa4a58d-cac4-c807-4ee2-c5a0b6242dee.png">

- Threat Huntingのエキスパート David Biancoさんが説明するPyramid of Painを元にしてまずは、Hunting成熟度モデル level1のhash値調査からやってみます。

さあ調査(Level1)
----
- **Hash Values**調査
- まずはhash値のリストをlookupに登録
- lookupファイルの編集は[lookup file editorアップ](https://splunkbase.splunk.com/app/1724/)を使うと楽

- SHA256、Campaign、SubmitDateあたりの情報があればまずは良いかな
![スクリーンショット 2020-01-21 19.29.02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/3d387eed-0d47-eae4-3069-17335601d2c6.png)

- lookup定義も忘れずに。あと権限設定もapp→globalへ。
![スクリーンショット 2020-01-21 19.31.42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/d32476c4-0db0-0ef8-18bf-6861a1d96d19.png)

- inputlookupコマンドで中身確認
![スクリーンショット 2020-01-21 20.01.08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/8fb31c47-d7bc-b42d-76af-ff1891fbf9e3.png)

- あとはマッチングするかcheck。ヒットしたらCampaignフィールドが新たに表示されるのでフィルタ条件に。

```spl
sourcetype="xmlwineventlog:microsoft-windows-sysmon/operational" 
|lookup malicioushash SHA256
|search Campaign=*
```

- まずはhash値に合致するプロセスは見つからないことを確認
![スクリーンショット 2020-01-21 20.05.00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/0c39600c-3a2e-a3df-9a68-469803df1e13.png)


さあ調査(Level2)
---
- 既知のhash値だけでは、まだまだ安心とは言えないですね。いくらでもhash値を変えてくることは容易に想像できます。そこで1段ギアをあげて攻撃の痕跡をhuntingしてみましょう。

- Host Artifact層の**起動プログラム（プロセス）**調査

- Host Artifactとは？
- 参照元：[The Pyramid of Pain](http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html)
>Host Artifacts: Observables caused by adversary activities on one or more of your hosts.  Again, we focus on things that would tend to distinguish malicious activities from legitimate ones.  They could be registry keys or values known to be created by specific pieces of malware, files or directories dropped in certain places or using certain names, names or descriptions or malicious services or almost anything else that's distinctive.

- ”ファイルやディレクトリにドロップされたファイルの痕跡”などが一例になっています。

- 　tickに関連する調査対象のドロップファイルはこちら
![スクリーンショット 2020-01-21 20.09.55.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/b5f6cd47-8ea5-9c73-7e81-cb07f18597cd.png)

- JPCERTさんの記事内で大事な注釈を発見
> ※ すべてのファイルおよびフォルダは%APPDATA%\Adobe\flash\[ランダムな4文字の英数字]\bin配下に作成されます。

- なるほど。であればSPLで以下のように表現してみよう。**ポイントはバックスラッシュ( \ )文字をエスケープさせるために\一つ追加してあげる必要があります。**

```spl
(Image=*Adobe\\flash\\*\\bin\\*)
AND 
(app.js OR
node.exe OR 
flash.vbs OR
config\\.regeditKey.rc OR
config\\app.json OR
config\\auto.json OR
tools\\getProxy.exe OR
tools\\uninstaller.exe)
```

> Image=*Adobe\\flash\\*\\bin\\*

- こうすれば、注釈にあるように生成されるexeファイル等のパス(置き場)を指定して調査も可能です。


高速調査のすゝめ
---
- sysmonのデータも数百台を超えて、期間も数ヶ月さかのぼって調査しようと思うとすぐにはサーチ結果が帰ってこない可能性があります。
- そこでおすすめなのは高速化Endpointデータモデルを使う方法です。
- Datamodelなに？という方はこちらをご参考ください
    - [SplunkのDatamodel Acceleration(高速化)について](https://qiita.com/odorusatoshi/items/932ade381d40644b3009)
- Endpointデータモデルの中にはProcessesというdatasetがあり、これがsysmonのプロセス作成イベントのログと対応しています。
- ぜひ[CIM App](https://splunkbase.splunk.com/app/1621/)をインストールして、Endpointデータモデルだけでも有効化してみてください。

- tstatsコマンドで調査を実施。

```
|tstats summariesonly=t count from datamodel=Endpoint.Processes by Processes.process_hash host
|rex field=Processes.process_hash SHA256=(?<SHA256>.*)
|fields - Processes.process_hash
```

- 早く結果が出てくるはずです。
![スクリーンショット 2020-01-21 20.33.47.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/856a19c3-a37c-0d2b-53a8-6dbf7b96d8d8.png)


### みなさまのThreat Huntingの一助になることを祈ります。