リスクを残さないためのメール侵害分析と対応の勘所
ITOCHU Cyber & Intelligence Inc.

Cybersecurity Analyst
Yumi Iida

はじめに• 2019 年から 2022 年にかけてフィッシング攻撃の報告件数は約 4 倍に*1

• 世界のメールサーバープロバイダーで Microsoft 365 は 2 位のシェア (13.5%) であり、多くの組織で使用される*2• Microsoft 365 を対象に 2021年よりBEC 対策として有効だった MFA を回避する攻撃
AiTM (Adversary in the Middle) が出現*3• AiTM (別称 トークンリプレイ攻撃) の報告は 2022 年から 2023 年にかけて30000 件/月から 70000 件/月に倍増し、今後も有効な攻撃として報告されている *4

参考情報*1 AWPG Report (https://docs.apwg.org/reports/apwg_trends_report_q3_2022.pdf )*2 Web Technology Surveys – Usage statistics of email server providers (https://w3techs.com/technologies/overview/email_server )*3 Blog - From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud (https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-asentry-point-to-further-financial-fraud/ )*4 Microsoft Digital Defense Report 2023 (https://www.microsoft.com/en-us/security/security-insider/microsoft-digital-defense-report-2023 )ITOCHU Cyber & Intelligence Inc.

2

Adversary in the Middle (AiTM) 攻撃とは
従来の攻撃

Attacker

User

Phishing site

Adversary in the Middle 攻撃

Target website

Attacker**

Phishing site**

Enter ID/Passreceive a mailUser

receive a mailTarget website**

Enter ID/Pass+MFA Enter ID/Pass+MFA**
Get ID/Pass

Get Session Cookie**

Blocked by MFA

Sign in as User

Sign in as User
MFA bypass

ITOCHU Cyber & Intelligence Inc.

3

インシデント発生時の課題• 暫定対応がわからない• 適切なログの選択、採取に時間を要する• 攻撃の痕跡となるログがわからない• 攻撃の痕跡への対応が体系的にまとまっていない . . .

適切でない初動対応によって被害が拡大することも

ITOCHU Cyber & Intelligence Inc.

4

本講演の目的
実際に発生した M365 アカウント侵害インシデントをもとに以下を説明する• インシデント発生時の初動対応

The goal:• インシデント調査の勘所✓ インシデントレスポンスの勘所を理解し、侵害発生時にすぐ対応できるように• 攻撃者の痕跡と該当ログの詳説✓ 有効な防御策を把握する• インシデントを未然に防ぐ防御策

ITOCHU Cyber & Intelligence Inc.

5

インシデント対応をしてみましょう
実際の侵害事例を元に、デモインシデントを作成した

あなたはとある商社の CSIRT に所属しています。
会社の IT 環境は以下の通りです。
社員数
ライセンス
メールサービス
多要素認証

300人
Microsoft 365 Enterprise E3
Exchange Online only
Microsoft Authenticator (OTP アプリ) を使用

ITOCHU Cyber & Intelligence Inc.

6

インシデント発生！

IT Adminさん、お疲れ様です。
今お時間よろしいでしょうか。

はい、大丈夫です。
どうされましたか。

取引先から先ほど電話があったのですが私が取引先に支払い口座の変更を依頼したか、という内容でした。

かしこまりました。
ちなみに、Johannaさんから取引先に対してそのような連絡はされていましたでしょうか* Johanna さんは既定ユーザーです
ITOCHU Cyber & Intelligence Inc.

7

インシデント発生！

いえ、しておりません。。。
小職にてすべき対応がございましたらご教示ください。

ご報告いただきありがとうございます。
調査いたしますので、今しばらくお待ちください。

* Johanna さんは既定ユーザーです

どのように調査・対応を進めればいいでしょうか

インシデント
発生

初動対応

ログ収集

ログ調査

ITOCHU Cyber & Intelligence Inc.

報告

防御策
実装
8

初動対応

ITOCHU Cyber & Intelligence Inc.

9

初動対応

初動対応

以下のいずれを実施しますか？

会社のネットワークを切断する
Johanna さんのパソコンを回収・ディスククリーンアップする
Johanna さんのアカウントを削除する
Johanna さんのアカウントのセッション無効化＋パスワードリセット

ITOCHU Cyber & Intelligence Inc.

10

DEMO

初動対応

初動対応

ITOCHU Cyber & Intelligence Inc.

11

DEMO

初動対応

初動対応

✓被害を食い止める• セッションの切断• 不審な多要素認証情報等の登録を削除✓痕跡を消さない• 「削除」は基本的に行わない• 「無効化」オプションを模索する✓被害の範囲を特定する• 同様の被害が組織でないか

ITOCHU Cyber & Intelligence Inc.

12

不正サインインを防ぐ
不正
サインイン

✓ 条件付きアクセスポリシーで Intune 管理された準拠済みまたは Microsoft Entra ハイブリッド参加済みデバイスからのサインインのみ許可する
License: Entra ID Premium P1, Intune✓ 条件付きアクセスポリシーで認証強度の高い方法 (Windows Hello for Business / FIDO2 Security Key …etc)によるサインインのみ許可する
License: Entra ID Premium P1, 認証強度の高い端末

参考情報
条件付きアクセスの認証強度

https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-authentication-strengths
ITOCHU Cyber & Intelligence Inc.

13

ログ収集・調査

ITOCHU Cyber & Intelligence Inc.

14

ログの収集・調査

ログ収集

ログ調査

• 必要なログがわからない• ログが保管されていない• ログの調査方法がわからない• 不審な痕跡が見つかったが対応がわからない

必要なログ / 保持期間 / 調査方針 を整理していく

ITOCHU Cyber & Intelligence Inc.

15

ログの収集ログ収集

調査に使用するログ
ログの種類

目的

Entra ID Sign-in logs

不審サインインおよび接続元 IP の確認

Entra ID Audit logs

不審アクティビティの確認例) セキュリティ情報の登録、アプリの登録...等

Unified Audit Log

特定ユーザーにおけるメール、ファイル関連の不審アクティビティの特定

ITOCHU Cyber & Intelligence Inc.

16

ログの収集

ログ収集

ログ種類別の保持期間

7日

Entra ID Logs

Unified Audit Log

Free

30 日

180 日

10 年

P1 & P2
Standard

Premium

参考情報
Microsoft Entra のデータ保持 https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/reference-reports-data-retention#activity-reports
既定の監査ログの保持ポリシー https://learn.microsoft.com/ja-jp/purview/audit-log-retention-policies#default-audit-log-retention-policy
ITOCHU Cyber & Intelligence Inc.

17

ログの調査

ログ調査

ログ種類別に推奨される調査範囲
Microsoft Entra ID

攻撃者

侵害ユーザー
Unified Audit Log

Entra ID Logs

ITOCHU Cyber & Intelligence Inc.

18

ログの収集・調査

ログ収集

ログ調査

Points✓ ライセンスとログ保持期間の事前把握を!!!

✓ 既知の侵害を起点に探索するとよい

▼参考

ログの種類
Entra ID Sign-in logs

目的

調査範囲

不審サインインおよび接続元 IP の確認

テナント全体Entra ID Audit logs

不審アクティビティの確認例) セキュリティ情報の登録、アプリの登録...等

テナント全体Unified Audit Log

特定ユーザーにおけるメール、ファイル関連の不審アクティビティの特定

特定ユーザー

ITOCHU Cyber & Intelligence Inc.

ライセンス

保持期間

Free

7 daysP1

30 daysP2

30 days

同上

同上

Audit (Standard)

180 days

Audit (Premium)10 years
19

DEMO

Entra ID Audit Logs の収集・調査

ITOCHU Cyber & Intelligence Inc.

20

DEMO

Entra ID Audit Logs の収集・調査✓被害の特定と応答• 不審なセキュリティ情報の登録を発見---> 削除• 不審アプリの登録を発見---> 無効化、内容確認

ITOCHU Cyber & Intelligence Inc.

21

攻撃の痕跡①,②

ユーザーのセキュリティ情報,端末の登録

実インシデントでは以下のような攻撃が見られた
今回のデモインシデントでは取り上げなかったが、端末の登録も過去に発生している

セキュリティ情報の登録
端末の登録

Attacker’s goal
✓ セキュリティ情報の登録窃取した Session Cookie が無効になった後も、MFA デバイスを使用して継続して不正サインインができる✓ 端末の登録
アクセス元が Entra ID 登録済みデバイスに絞られている高価値な資産へアクセス可能に
ITOCHU Cyber & Intelligence Inc.

22

セキュリティ情報の登録を防ぐ
セキュリティ
情報の登録✓ 条件付きアクセスポリシーで“信頼できる場所”以外からのセキュリティ情報の登録をブロックまたは MFA 等を要求する※セキュリティ情報 (多要素認証) 未登録のユーザーはロックアウトされるため要注意

License: Entra ID Premium P1

参考情報 Microsoft Entra ID の統合されたセキュリティ情報登録
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-registration-mfa-sspr-combined#create-a-policy-to-require-registration-from-a-trusted-location
ITOCHU Cyber & Intelligence Inc.

23

攻撃の痕跡③

アプリ導入

実インシデントでは以下のような攻撃が見られた*収集できたデータの都合上 Unified Audit Log を表示している

アプリ導入

Attacker’s goal
✓ アプリのもつAPI権限に応じて情報窃取が可能
ITOCHU Cyber & Intelligence Inc.

24

攻撃の痕跡③

アプリ導入

Microsoft 365 Environment

Corporate Resource

侵害ユーザー不審アプリ✓ 実インシデントでは右記 [Manifest] を持つアプ

リ登録を確認ITOCHU Cyber & Intelligence Inc.

25

アプリ導入を防ぐ
アプリ導入✓ 一般ユーザーによるアプリの登録を防ぐ• Azure ポータルより[ユーザーはアプリケーションを登録できる] を [いいえ] とする

License: Entra ID Free✓ 一般ユーザーによるアプリケーションへの同意を許可しない• 一般ユーザーが同意を行うことで [エンタープライズ アプリケーション] にサービス プリンシパルを登録させない• Azure ポータルより [エンタープライズ アプリケーション] > [同意とアクセス許可] にて [ユーザーの同意を許可しない] 設定とする

License: Entra ID Free

参考情報
アプリケーション登録またはアプリケーションへの同意を作成する既定の機能を無効にするには
https://learn.microsoft.com/ja-jp/entra/identity/role-based-access-control/delegate-app-roles#to-disable-the-default-ability-to-create-application-registrations-or-consent-to-applications

参考 : エンタープライズ アプリケーションに、管理者の知らないアプリケーションが追加されている!
https://jpazureid.github.io/blog/azure-active-directory/enterpriseapps-multitenantapps/
ITOCHU Cyber & Intelligence Inc.

26

アプリ導入を防ぐ
Add application

ITOCHU Cyber & Intelligence Inc.

27

Unified Audit Log 編

ログの収集・調査

ITOCHU Cyber & Intelligence Inc.

28

ログの収集 – Unified Audit Log

ログ収集

ログ調査

• Unified Audit Log のログ種類 *抜粋#

RecordType

説明

1

ExchangeAdmin

Exchange 管理者監査ログからのイベント。

2

ExchangeItem

単一のアイテムに対して実行されるアクション (単一の電子メール メッセージの作成や受信など) の、
Exchange メールボックス監査ログからのイベント。

3

ExchangeItemGroup

複数のアイテムに対して実行できるアクション (1 つ以上の電子メール メッセージの移動や削除など)の、Exchange メールボックス監査ログからのイベント。

4

SharePoint

SharePoint イベント。

6

SharePointFileOperation

SharePoint ファイル操作イベント。

7

OneDrive

Skype for Business イベント。

8

AzureActiveDirectory

Microsoft Entra イベント。

15

AzureActiveDirectoryStsLogon

Microsoft Entra ID でのセキュリティで保護されたトークン サービス (STS) ログオン イベント。

参考情報
AuditLogRecordType: https://learn.microsoft.com/ja-jp/office/office-365-management-api/office-365-management-activity-api-schema#auditlogrecordtype
ITOCHU Cyber & Intelligence Inc.

29

ログの調査 – Unified Audit Log

ログ調査• データスキーマ

多くの UAL にて以下 Field が共通である
CreationDate, UserIds, RecordType, Operations,AuditData, ResultIndex, ResultCount, Identity,
IsValid, ObjectState

AuditData が JSON からなるため
場合に応じて PowerQuery を用いたパースが必要

ITOCHU Cyber & Intelligence Inc.

30

ログの調査 – Unified Audit Log

ログ調査

Points✓ 特徴的な攻撃手法を理解して、順序付けて RecordType を調査<取得方法>✓GUI
1. Microsoft Purview (https://compliance.microsoft.com/ ) にアクセスし、[Solutions | Audit] に遷移する
2. [Activities], [Users] で取得したい情報を指定し、[Search] をクリックする
3. [Completed] をクリックすると画面遷移した先で [Export] できる✓Exchange PowerShell
1. Exchange Powershell に接続する
2. Search-UnifiedAuditLog によってローカルに UAL の csv をダウンロードする
参考情報
新しい検索の監査 https://learn.microsoft.com/ja-jp/purview/audit-new-search#get-started-with-audit-new-search
PowerShell スクリプトを使用して監査ログを検索する https://learn.microsoft.com/ja-jp/purview/audit-log-search-script
ITOCHU Cyber & Intelligence Inc.

31

DEMO

Unified Audit Log の収集・調査

ITOCHU Cyber & Intelligence Inc.

32

DEMO

Unified Audit Log の収集・調査✓被害の特定優先順位

RecordType

確認ポイント1

ExchangeAdmin

InboxRule が作成・削除されていないか？

2

ExchangeItem

そのほかのメール閲覧・削除アクティビティはないか？

2

SharePointFileOperation

ファイル (SharePoint, OneDrive) の閲覧・削除アクティビティはないか？

✓他被害の調査• “SessionId”を起点にRecordTypeを横断した
攻撃者アクティビティを特定✓応答• 不審な InboxRule を発見---> ユーザーヒアリング、削除

ITOCHU Cyber & Intelligence Inc.

33

攻撃の痕跡④,⑤

侵害痕跡の削除～情報窃取

実インシデントより、Unified Audit Log を使用して以下の痕跡 (順不同) を確認できる

InboxRule の作成

Attacker’s goal
スパム送信
InboxRule の削除
メール削除✓ 侵害痕跡の削除• スパムの大量送信やバウンスメール
をゴミ箱に移動させ、侵害に気づかせない• 後続の攻撃に都合の悪い情報の削除✓ 情報窃取メール窃取• BEC 等の後続の攻撃に使用

ファイル窃取ITOCHU Cyber & Intelligence Inc.

34

攻撃の痕跡④

侵害痕跡の削除*RecordType = 1 (ExchangeAdmin)

InboxRule の作成
スパム送信
InboxRule の削除
メール削除
メール窃取
ファイル窃取ITOCHU Cyber & Intelligence Inc.

35

攻撃の痕跡④

侵害痕跡の削除

InboxRule の作成
スパム送信
攻撃者が送信したスパムメールへの返信をInboxRule の削除
削除済みフォルダに自動転送する InboxRule→ユーザーが侵害に気づかないように
メール削除
メール窃取
ファイル窃取"Parameters": [{"Name": "MoveToFolder","Value": "Deleted Items"},{"Name": "Name","Value": ".."},{"Name": "SubjectOrBodyContainsWords","Value": "Re: <spam mail title>"},{"Name": "MarkAsRead","Value": "True"},{"Name": "StopProcessingRules","Value": "False"}]

ITOCHU Cyber & Intelligence Inc.

36

攻撃の痕跡④

侵害痕跡の削除

InboxRule の作成
スパム送信
InboxRule の削除
メール削除
メール窃取
ファイル窃取ITOCHU Cyber & Intelligence Inc.

37

攻撃の痕跡④

侵害痕跡の削除“AffectedItems” について、確認・復元する{"CreationTime": "2023-05-25T19:43:14","Id": "0xxx0x0x-0000-0x00-0xxx-00xx0x0000x0",[...skipped...]"SessionId": "0x000x00-xx0x-000x-00x0-00x00000x0x0","AffectedItems": [{"Id": "RgAAAADTH2BwALBELd3a¥/PAAEMAD+¥/Fm4QEc4X¥/WhbAAJ","InternetMessageId": "<G0005BE026CBF00X0X@S000A3.xxxxxx00.prod.outlook.com>","ParentFolder": {"Id": "AAAADTH2BwALBELd3a¥/PAAEMAA","Path": "¥¥Inbox"},"Subject": "Outlook Rules Organizer"}],"CrossMailboxOperation": false,"Folder": {"Id": "LgAAAADTH2BwALBELd3a¥/PAAEMAA","Path": "¥¥Inbox"}

InboxRule の作成
スパム送信
InboxRule の削除
メール削除
メール窃取

}

ファイル窃取ITOCHU Cyber & Intelligence Inc.

38

攻撃の痕跡④

侵害痕跡の削除

InboxRule の作成
スパム送信
InboxRule の削除
情報窃取でも共通しているが、一般ユーザーも実施する操作であるため“SessionId”や“ClientIP”、“ClientInfoString“
等のプロパティを確認

メール削除
メール窃取
ファイル窃取ITOCHU Cyber & Intelligence Inc.

39

攻撃の痕跡④,⑤

侵害痕跡の削除～情報窃取“SessionId”以外の手法では、以下のように侵害痕跡と思われるアクティビティとそうでないものを見分けられる

InboxRule の作成✓ 一般ユーザアクティビティ例{✓ 攻撃者アクティビティ例{"CreationTime": "2023-05-27T06:12:43",

スパム送信
InboxRule の削除
メール削除
メール窃取

"CreationTime": "2023-05-27T06:12:43",[...skipped...]"Workload": "Exchange","ClientIP": "20.100.101.102","UserId": "user@example.com","ClientIPAddress": "203.0.113.0","ClientInfoString":"Client=MSExchangeRPC","ClientProcessName": "OUTLOOK.EXE","ClientRequestId": "{00X0XXXX-000X-0X000X00-X00X0XXXX000}","ClientVersion": "16.0.16327.20200","ExternalAccess": false,[...skipped...]"Workload": "Exchange","ClientIP": “20.100.101.102","UserId": "user@example.com","AppId": "00000002-0000-0ff1-ce00000000000000","ClientIPAddress": "20.100.101.102","ClientInfoString":"Client=OWA;Action=ViaProxy","ExternalAccess": false,[...skipped...]}[...skipped...]ファイル窃取}ITOCHU Cyber & Intelligence Inc.

40

報告

ITOCHU Cyber & Intelligence Inc.

41

調査レポートの作成

報告

インシデントは分析のみでなく、結果や残対応まで正確にユーザーに伝えましょう

いただいたログより以下の不審なアクティビティがありました、想定外の操作ではないかご確認ください。
1. 不審なサインイン
2023/12/12 13:50:17 - 14:11:43 (UTC) の間、Johanna 氏のアカウントへの以下 UserAgent および IP からの不審サインインが見られた
Mozilla/5.0 (Windows NT 10.0; rv:109.0) Gecko/20100101 Firefox/115.0
2a0b:f4c2:1::1 , , US ...(略)2. 2023/12/12 13:55:36 - 14:04:58 (UTC) の間に Johanna 氏の権限で・下記アプリケーションを追加
TargetDisplayName: chatbot
TargetObjectId: 80cf2cdc-2178-400b-ab98-a0677b6bd694
・アプリケーションに以下の権限を委任
ConsentType: AllPrincipals
Scope: Mail.ReadWrite MailboxSettings.ReadWrite User.Read
3. 以下セキュリティ情報の登録
4. 以下転送ルールの作成① 侵害内容のサマリ...(略)...(略)

ITOCHU Cyber & Intelligence Inc.

42

調査レポートの作成

報告

インシデントは分析のみでなく、結果や残対応まで正確にユーザーに伝えましょう

5. Johanna 氏のアカウントで発生した不審アクティビティ
2023/12/12 5:03 (UTC) に "REVISED INVOICE“ メールを送信した
2023/12/12 5:12:10 - 5:15:38(UTC) に以下情報のダウンロードが確認されました- PO_EcoGreenLand_inc.docx- Comprehensive ERP System Requirements.docx
各アクティビティについて、以下対応が完了していることを確認しています。
2. 不審アプリの無効化
3. 不審セキュリティ情報の削除
4. 不審転送ルールの削除② 侵害への対応サマリ

貴社にて、以下対応をお願いいたします。
2. 不審アプリの削除
5. ダウンロードされた情報や送信済みメールに対する各社注意喚起③ 追加の依頼事項

お忙しいところ恐れ入りますが、どうぞよろしくお願いいたします。

ITOCHU Cyber & Intelligence Inc.

43

防御策の実装

ITOCHU Cyber & Intelligence Inc.

44

インシデントの流れ

ユーザー

フィッシングメール
受信

偽装サイトにID・PW・MFA を入力

スパムメール
大量送信

Session Cookie の窃取得た情報を基に他組織を攻撃

メール検体

攻撃者

0

1

2

3

4

5

不正サインインセキュリティ
情報の登録

端末の登録

アプリ導入

侵害痕跡の削除

情報窃取

Microsoft
365

Entra ID Sign-in Log

Entra ID Audit Log* E5, Entra ID Premium P2 を持っている場合は、Entra ID Logs の前に Identity Protectionのアラート確認がおすすめです。
* Unified Audit Log は Entra ID Log と類似した証跡を提供しますが、一部の痕跡は Entra ID Log で調査することを推奨します。

ITOCHU Cyber & Intelligence Inc.

Unified Audit Log*45

防御策の実装ユーザー

攻撃者

Microsoft365

フィッシングメール
受信

防御策実装

偽装サイトにID・PW・MFA を入力

スパムメール
大量送信

Session Cookieの窃取得た情報を基に他組織を攻撃

0

1

2

3

4

5

不正サインインセキュリティ
情報の登録

端末の登録

アプリ導入

侵害痕跡の削除

情報窃取

Prevent +Containment

Prevent

ITOCHU Cyber & Intelligence Inc.

Detect46

まとめ

ITOCHU Cyber & Intelligence Inc.

47

*全ての侵害シナリオは網羅できていないため、ご了承ください。下記以外に Power Platform や First Party App の悪用、ゲストユーザーの招待といった手法を用いるAPTの事例が報告されています。

初動対応が一番大切！
Phishing
mail 開封

不正
Phishing site Session Cookie
の窃取
サインイン
アクセス、入力

セキュリティ
情報の登録

端末の登録

アプリ導入

侵害痕跡
の削除

情報窃取

1. 侵害時刻より現在がセッション有効期間内の場合、セッションを無効化
2. 侵害ユーザーのパスワードリセット
3. 侵害ユーザーの不審なセキュリティ情報の削除

4. 侵害ユーザーの不審な登録端末の無効化
5. 侵害ユーザーの不審なメール転送ルールの削除

繰り返し

6. 侵害前後で登録された Entra ID アプリの無効化

7. ログ取得依頼・採取・調査
8. 侵害起点メールの他受信者の調査
9. メール受信前後の不審なサインインの調査、他侵害ユーザの特定ITOCHU Cyber & Intelligence Inc.

48

まとめ
実際に発生した M365 アカウント侵害インシデントをもとに以下を説明しました• インシデント発生時の初動対応

The goal:• インシデント調査の勘所✓ インシデントレスポンスの勘所を理解し、侵害発生時にすぐ対応できるように• 攻撃者の痕跡と該当ログの詳説✓ 有効な防御策を把握する• インシデントを未然に防ぐ防御策

ITOCHU Cyber & Intelligence Inc.

49

Thank you

ITOCHU Cyber & Intelligence Inc.

Appendix: 初動対応参考

ITOCHU Cyber & Intelligence Inc.

51

*全ての侵害シナリオは網羅できていないため、ご了承ください。下記以外に Power Platform や First Party App の悪用、ゲストユーザーの招待といった手法を用いるAPTの事例が報告されています。

初動対応 まとめPhishing
mail 開封

不正
Phishing site Session Cookie
の窃取
サインイン
アクセス、入力

セキュリティ
情報の登録

端末の登録

アプリ導入

侵害痕跡
の削除

情報窃取

1. 侵害時刻より現在がセッション有効期間内の場合、セッションを無効化
2. 侵害ユーザーのパスワードリセット
3. 侵害ユーザーの不審なセキュリティ情報の削除

4. 侵害ユーザーの不審な登録端末の無効化
5. 侵害ユーザーの不審なメール転送ルールの削除

繰り返し

6. 侵害前後で登録された Entra ID アプリの無効化

7. ログ取得依頼・採取・調査
8. 侵害起点メールの他受信者の調査
9. メール受信前後の不審なサインインの調査、他侵害ユーザの特定ITOCHU Cyber & Intelligence Inc.

52

初動対応 詳細
1. 侵害時刻より現在がセッション有効期間内の場合、セッションを無効化• ユーザー管理者以上の権限を持つアカウントで Azure Portal (https://portal.azure.com/ ) にアクセスする• [Microsoft Entra ID] - [ユーザー] にて侵害されたユーザーを検索し、ユーザー画面に遷移する• [セッションの取り消し] を行う※事前に継続的アクセス評価 (Continuous Access Evaluation) が有効であることを確認する

2. 侵害ユーザーのパスワードリセット• 同様にユーザー画面にて[パスワードのリセット]を行う

3. 侵害ユーザーの不審なセキュリティ情報の削除• ユーザー画面にて [認証方法] セクションに切り替える• 「使用可能な認証方法」にて不審なセキュリティ情報がないか確認する• あった場合は右端の […] - [削除] の順にクリックする

4. 侵害ユーザーの不審な登録端末の削除• ユーザー画面にて [デバイス] セクションに切り替える• 不審なデバイスを選択し、[無効にする] をクリックする

ITOCHU Cyber & Intelligence Inc.

53

初動対応 詳細
5. 侵害ユーザーの不審なメール転送ルールの削除• 接続元PCにて事前に ExchangeOnlineManagement モジュールをインストールする
Import-Module ExchangeOnlineManagement• Exchnage Online に Powershell で接続する

Connect-ExchangeOnline -UserPrincipalName admin@example.com• 事前に存在する InboxRule を確認する

Get-InboxRule -Mailbox Joker@example.com• 不審な InboxRule を削除する

Remove-InboxRule -Mailbox Joker@example.com -Identity "ProjectA-MoveToFolderA"

6. 侵害前後で登録された Entra ID アプリの無効化• アプリケーション閲覧者以上の権限を持つアカウントで Azure Portal (https://portal.azure.com/ ) にアクセスする【 エンタープライズ アプリケーション 】• [Microsoft Entra ID] - [エンタープライズ アプリケーション] - [すべてのアプリケーション] の順に遷移する• [フィルターの追加] - [作成日 == 過去7日間(*参考)] でソートし、インシデント発生前後で新規アプリの登録がないか確認する、ある場合は選択する• [プロパティ] セクションに切り替え、「ユーザーのサインインが有効になっていますか?」を”いいえ”にする• インシデントレスポンスが完了したら削除する【 アプリの登録 】
•
•
•
•
•

[Microsoft Entra ID] - [アプリの登録] - [すべてのアプリケーション]の順に遷移する[作成日] でインシデント発生前後にできたアプリをソートする、不審なアプリがある場合は選択する[証明書とシークレット] セクションに切り替え、シークレットがある場合は削除する[API のアクセス許可] セクションに切り替え、不審なアクセス許可は削除する
インシデントレスポンスが完了したら削除する
ITOCHU Cyber & Intelligence Inc.

54

初動対応 詳細
7. ログ取得依頼・採取・調査【 Entra ID Logs 】• Azure Portal (https://portal.azure.com/ ) にアクセスする• [Microsoft Entra ID] - [監視と正常性] - [サインイン ログ] または [監査ログ] に遷移し、[ダウンロード] をクリックする【 Unified Audit Log 】• Exchnage Online に Powershell で接続する
Connect-ExchangeOnline -UserPrincipalName admin@example.com• Search-UnifiedAuditLog を使用してログを取得する。以下は複数のRecordTypeを一括出力した参考例である。
$recordTypes = @("ExchangeAdmin", "ExchangeItem", "ExchangeItemGroup", "AzureActiveDirectory","AzureActiveDirectoryStsLogon", "SharePoint", "SharePointFileOperation", "OneDrive")$startDate = "12/1/2023“$endDate = "12/14/2023" $userId = Joker@example.com$resultSize = 5000 $outputPath = "/Users/admin/file/UAL/Joker_UAL.csv“Foreach ($recordType in $recordTypes){ $auditlog = Search-UnifiedAuditLog –UserIds $userId –ResultSize $resultSize –StartDate$startDate –EndDate $endDate –RecordType $recordType $auditlog| Select-Object –Property CreationDate,UserIds,RecordType,Operations,AuditData| Export-Csv -Append -Path $outputPath -NoTypeInformation -Force }ITOCHU Cyber & Intelligence Inc.

55

初動対応 詳細
8. 侵害起点メールの他受信者の調査• Microsoft Defender (https://security.microsoft.com/ )にアクセスする• [Email & collaboration] - [Explorer] の順に遷移する• 侵害されたユーザーと同様のメールを受信しているユーザーがいないか調査する

9. メール受信前後の不審なサインインの調査、他侵害ユーザの特定ITOCHU Cyber & Intelligence Inc.

56

Appendix: 防御策一覧* 本編スライド内で触れた防御策の再掲を含みます。

ITOCHU Cyber & Intelligence Inc.

57

*全ての侵害シナリオは網羅できていないため、ご了承ください。下記以外に Power Platform や First Party App の悪用、ゲストユーザーの招待といった手法を用いるAPTの事例が報告されています。

防御策 まとめユーザー

攻撃者

Microsoft365

フィッシングメール
受信

偽装サイトにID・PW・MFA を入力

スパムメール
大量送信

Session Cookieの窃取得た情報を基に他組織を攻撃

0

1

2

3

4

5

不正サインインセキュリティ
情報の登録

端末の登録

アプリ導入

侵害痕跡の削除

情報窃取

Prevent +Containment

Prevent

ITOCHU Cyber & Intelligence Inc.

Detect58

Prevent
Session Cookieの窃取✓ 条件付きアクセスポリシーでトークンが発行されたデバイスからのみトークンを使用できるようにする*本機能はプレビュー中のため、 Office 365 Exchange Online, Office 365 SharePoint Onlineでのみ有効

License: Entra ID Premium P2
Policy settings:• [割り当て]• [ユーザー]: [対象] にて "すべてのユーザー" または "ユーザーとグループの選択" を選ぶ *Break glass account は対象外とする• [ターゲット リソース] - [クラウド アプリ]: Office 365 Exchange Online, Office 365 SharePoint Online• [アクセス制御] - [セッション]: サインイン セッションにトークン保護を必要にする (プレビュー)

参考情報
条件付きアクセス: トークン保護 (プレビュー)https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-token-protection
ITOCHU Cyber & Intelligence Inc.

59

Containment
Session Cookieの窃取✓ Outlook on the Web (OWA) のセッションを最大 1 時間に制限する• Microsoft Entra ID が発行する OWA にアクセス可能な非永続的なセッショントークンは既定で 24 時間のため、1 時間経
過したら再認証を求めるよう、条件付きアクセスポリシーを作成する

License: Entra ID Premium P1
Policy settings:• [割り当て]• [ユーザー]: [対象] にて "すべてのユーザー" または "ユーザーとグループの選択" を選ぶ *Break glass account は対象外とする• [ターゲット リソース] - [クラウド アプリ]: Office 365 Exchange Online• [条件] - [クライアント アプリ]: ブラウザー• [アクセス制御] - [セッション]: [サインインの頻度] - [定期的な再認証 = 1 時間]

参考情報 条件付きアクセスを使用して認証セッション管理を構成する
https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/howto-conditional-access-session-lifetime#policy-1-sign-in-frequency-control
ITOCHU Cyber & Intelligence Inc.

60

Prevent
不正
サインイン✓ 条件付きアクセスポリシーで Intune 管理された準拠済みまたは Microsoft Entra ハイブリッド参加済みデバイスからのサインインのみ許可する
License: Entra ID Premium P1, Intune
Policy settings:• [割り当て]• [ユーザー]: [対象] にて "すべてのユーザー" または "ユーザーとグループの選択" を選ぶ *Break glass account は対象外とする• [ターゲット リソース] - [クラウド アプリ]: すべてのクラウド アプリ• [アクセス制御] - [許可] - [アクセス権の付与]:“デバイスは準拠しているとしてマーク済みである必要があります” または “Microsoft Entra ハイブリッド参加済みデバイスが必要”

ITOCHU Cyber & Intelligence Inc.

61

Prevent
不正
サインイン✓ 条件付きアクセスポリシーで認証強度の高い方法 (Windows Hello for Business / FIDO2 Security Key …etc) によるサインインのみ許可する
License: Entra ID Premium P1, 認証強度の高い端末
Policy settings:• [割り当て]• [ユーザー]: [対象] にて "すべてのユーザー" または "ユーザーとグループの選択" を選ぶ *Break glass account は対象外とする• [ターゲット リソース] - [クラウド アプリ]: すべてのクラウド アプリ• [アクセス制御] - [許可] - [アクセス権の付与]: “認証強度が必要”

参考情報
条件付きアクセスの認証強度

https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-authentication-strengths
ITOCHU Cyber & Intelligence Inc.

62

Detect
不正
サインイン✓ Entra ID Interactive Sign-in logs にて 10 分以内に 2 か所以上 (*目安) の国からアクセスがあった場合検知する
License: Entra ID Free + SIEM
✓ Entra ID Identity Protection にてサインインリスクが中以上の場合、多要素認証またはパスワードリセットを要求する
License: Entra ID Premium P2

参考情報
リスク ポリシーを構成して有効にする

https://learn.microsoft.com/ja-jp/entra/id-protection/howto-identity-protection-configure-risk-policies
ITOCHU Cyber & Intelligence Inc.

63

Prevent
セキュリティ情報の登録✓ 条件付きアクセスポリシーで“信頼できる場所”以外からセキュリティ情報の登録があったときに MFA 等の要求またはブロックする※セキュリティ情報（多要素認証）未登録のユーザーはロックアウトされるため要注意

License: Entra ID Premium P1
Policy settings:• [割り当て]• [ユーザー]: [対象] にて "すべてのユーザー" または "ユーザーとグループの選択" を選ぶ *Break glass account は対象外とする• [ターゲット リソース] - [ユーザー操作]: セキュリティ情報の登録• [条件] - [場所]: “すべての信頼できる場所”を対象外にする• [アクセス制御] - [許可] - [アクセス権の付与]: 任意のオプションを選択 (例 多要素認証を要求する、デバイスは準拠しているとしてマーク済みである必要があります…等)

参考情報 Microsoft Entra ID の統合されたセキュリティ情報登録
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-registration-mfa-sspr-combined#create-a-policy-to-require-registration-from-a-trusted-location
ITOCHU Cyber & Intelligence Inc.

64

Detect
セキュリティ情報の登録✓ Entra ID 監査ログを SIEM に出力し、以下の属性を監視する
License: Entra ID Free + SIEM
Service

Authentication Methods

ServiceAzure MFA

Category

UserManagement

Category

UserManagement

Activity

User registered security info

Activity

User changed default security info
User started security info registration
User registered security info
User updated security info
User deleted security info

Results

Success / Failure

Results

Success / Failure

ITOCHU Cyber & Intelligence Inc.

65

Prevent
端末の登録✓ 条件付きアクセスポリシーで“信頼できる場所”以外から端末の登録があったときに MFA 等の要求またはブロックする
License: Entra ID Premium P1
Policy settings:• [割り当て]• [ユーザー]: [対象] にて "すべてのユーザー" または "ユーザーとグループの選択" を選ぶ *Break glass account は対象外とする• [ターゲット リソース] - [ユーザー操作]: デバイスの登録または参加• [条件] - [場所]: “すべての信頼できる場所”を対象外にする• [アクセス制御] - [許可] - [アクセス権の付与]: 任意のオプションを選択 (例 多要素認証を要求する、デバイスは準拠しているとしてマーク済みである必要があります…等)

参考情報
条件付きアクセス: ターゲット リソース - ユーザー操作

https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-conditional-access-cloud-apps#user-actions
ITOCHU Cyber & Intelligence Inc.

66

Detect
端末の登録✓ ユーザーにデバイス登録通知をする
Intune 管理センターにて、ユーザーに新しく登録されたデバイスの通知設定を行う
これによりユーザーは自身の予期しないデバイス登録に気づきIT管理者に連絡できる

License: Entra ID Premium P1 + Intune

参考情報Intune で登録通知を設定する

https://learn.microsoft.com/ja-jp/mem/intune/enrollment/enrollment-notifications
ITOCHU Cyber & Intelligence Inc.

67

Detect
端末の登録✓ Entra ID 監査ログを SIEM に出力し、以下の属性を監視する
License: Entra ID Premium P1
Service

Device Registration Service

Category

DeviceActivity

Register device

Results

Success / Failure

ITOCHU Cyber & Intelligence Inc.

68

Prevent
アプリ導入✓ 一般ユーザーによるアプリの登録を防ぐ• Azure ポータルより[ユーザーはアプリケーションを登録できる] を [いいえ] とする

License: Entra ID Free✓ 一般ユーザーによるアプリケーションへの同意を許可しない• 一般ユーザーが同意を行うことで [エンタープライズ アプリケーション] にサービス プリンシパルを登録させない• Azure ポータルより [エンタープライズ アプリケーション] > [同意とアクセス許可] にて [ユーザーの同意を許可しない] 設定とする

License: Entra ID Free

参考情報
アプリケーション登録またはアプリケーションへの同意を作成する既定の機能を無効にするには
https://learn.microsoft.com/ja-jp/entra/identity/role-based-access-control/delegate-app-roles#to-disable-the-default-ability-to-create-application-registrations-or-consent-to-applications

参考 : エンタープライズ アプリケーションに、管理者の知らないアプリケーションが追加されている!
https://jpazureid.github.io/blog/azure-active-directory/enterpriseapps-multitenantapps/
ITOCHU Cyber & Intelligence Inc.

69

Detect
アプリ導入✓ Entra ID 監査ログを SIEM に出力し、以下の属性を監視する
License: Entra ID Free + SIEM#

Service

Category

Activity

1

Core Directory

ApplicationManagement

Add application2

Add service principal

3

UserManagement

Add app role assignment grant to user

4

ApplicationManagement

Add delegated permission grant

5Consent to application

ITOCHU Cyber & Intelligence Inc.

70

アプリ導入時のログ出力について
Entra ID においてアプリ導入された際のログ出力イメージを以下に示す。
*イメージのため、正確な情報は Microsoft にご確認ください。

Microsoft Entra ID
1 Add application

Attacker

Application
30 Unauthorized access2 Add service principal

Add app role assignment
grant to user

User
4

Add delegatedpermission grantApp role
assignment

5 Consent to application

ITOCHU Cyber & Intelligence Inc.

Service
Principal

Delegated
permission

71

Detect
侵害痕跡の削除✓ メール転送ルールの作成を検知する
Unified Audit Log を SIEM 等に出力し、下記の属性を監視する*Unified Audit Log からわかるメール転送ルール以外の痕跡は正常アクティビティとの判別が困難なため割愛

License: Audit (Standard) + Exchange Online + SIEM
RecordType

Operation

ふるまい

ExchangeAdmin

New-InboxRule

メール転送ルール (InboxRule) の作成

ITOCHU Cyber & Intelligence Inc.

72

ITOCHU Cyber & Intelligence Inc.