Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Microsoft Defender for Endpoint でインシデント対応する上で知っ...
Search
Kunii, Suguru
February 14, 2024
Technology
0
280
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
2024年2月13日開催 第8回EMS勉強会スライド
Kunii, Suguru
February 14, 2024
Tweet
Share
More Decks by Kunii, Suguru
See All by Kunii, Suguru
Microsoft Intune アプリのトラブルシューティング
sophiakunii
1
900
実録 Intune デバイス登録トラブルシューティング
sophiakunii
0
110
Microsoft 365 でデータセキュリティを強化しよう
sophiakunii
2
860
なんでもCopilot for Security
sophiakunii
4
4.6k
Monthly Microsoft Intune Briefing Call Japan #2
sophiakunii
0
140
Copilot for Security を使った MDE / Sentinel のログ調査
sophiakunii
3
540
Microsoft Defender for Endpoint でインシデント対応する上で知っておきたい Windows の知識
sophiakunii
6
5k
Microsoft Cloud Security Benchmarkから学ぶMicrosoft Defender for Cloud
sophiakunii
4
1k
Microsoft Defender for Endpointによるインシデント調査
sophiakunii
3
4.6k
Other Decks in Technology
See All in Technology
AI駆動で進化する開発プロセス ~クラスメソッドでの実践と成功事例~ / aidd-in-classmethod
tomoki10
1
770
バクラクの認証基盤の成長と現在地 / bakuraku-authn-platform
convto
4
880
地味にいろいろあった! 2025春のAmazon Bedrockアップデートおさらい
minorun365
PRO
2
550
クラウド開発環境Cloud Workstationsの紹介
yunosukey
0
220
GraphQLを活用したリアーキテクチャに対応するSLI/Oの再設計
coconala_engineer
0
190
10ヶ月かけてstyled-components v4からv5にアップデートした話
uhyo
5
450
もう難しくない!誰でもカンタンDocker入門 〜30分であなたのPCにアプリを立ち上げる〜
devops_vtj
0
180
AIでめっちゃ便利になったけど、結局みんなで学ぶよねっていう話
kakehashi
PRO
1
520
Cross Data Platforms Meetup LT 20250422
tarotaro0129
1
920
DjangoCon Europe 2025 Keynote - Django for Data Science
wsvincent
0
370
Mastraに入門してみた ~AWS CDKを添えて~
tsukuboshi
0
380
ペアーズにおける評価ドリブンな AI Agent 開発のご紹介
fukubaka0825
6
1.6k
Featured
See All Featured
The Art of Programming - Codeland 2020
erikaheidi
53
13k
Writing Fast Ruby
sferik
628
61k
4 Signs Your Business is Dying
shpigford
183
22k
Gamification - CAS2011
davidbonilla
81
5.3k
Fireside Chat
paigeccino
37
3.4k
The Myth of the Modular Monolith - Day 2 Keynote - Rails World 2024
eileencodes
23
2.7k
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
47
5.4k
[RailsConf 2023] Rails as a piece of cake
palkan
54
5.5k
Let's Do A Bunch of Simple Stuff to Make Websites Faster
chriscoyier
507
140k
Build your cross-platform service in a week with App Engine
jlugia
230
18k
What’s in a name? Adding method to the madness
productmarketing
PRO
22
3.4k
Unsuck your backbone
ammeep
671
57k
Transcript
Microsoft Defender for Endpoint でインシデント対応 する上で知っておきたい Windows の知識 株式会社エストディアン 国井
傑 (くにい すぐる)
2 自己紹介 • 国井 傑 (くにい すぐる) • 株式会社エストディアン 所属
• 公立大学法人会津大学 客員教授 • マイクロソフト認定トレーナー (1997~2025) • Microsoft MVP for Security (2006~2024) • https://AzureAD.net • 主な職務・実績 • Microsoft 365 セキュリティ/インフラ管理に関わるトレーニング • テクニカル ライター (日経 BP, 技術評論社, @IT 等)
MDE の基本知識
4 アラートとインシデント インシデント アラート アラート 推奨されないような特定の事象が発生した時に出力する内容 個々のアラートの詳細を確認していくことが次のステップになる インシデント 一連の攻撃や関連するアラートをひとまとめにしたもの。 まずはここから調査を開始する。
影響を受けるエンドポイントの数、影響を受けるユーザー、 検出ソース、カテゴリなどの通知属性に基づいて自動的に生成。 https://security.microsoft.com > インシデントとアラート
5 インシデントとアラートの検出 インシデント インシデント内のアラート インシデントと判定した要因
6 アラートでの検出 特定のアラートの詳細 アラートを発生させた事象 に関わるプロセスツリー
7 アラートのストーリーから分析 Powershell.exe から notepad.exe を呼び出している notepad.exe にプロセスが注入 され、悪意のコードが実行された プロセスが注入により
204.79.197.203 へ の通信が行われた Powershell.exe は explorer.exe から呼び出されている
8 デバイスのインベントリ https://security.microsoft.com > アセット > デバイス > 個別のデバイス アクティビティを
時系列に表示
知っておきたい Windows の基本知識 その 1 ハッシュ
10 RegSvcs.exe ってマルウェア? Multi-stage incident involving Defense evasion & Discovery
on one endpoint より
11 ハッシュはファイルを確認するための情報 ハッシュ値 Multi-stage incident involving Defense evasion & Discovery
on one endpoint より
12 Virustotal でチェック
知っておきたい Windows の基本知識 その 2 schtasks.exe
14 schtasks.exe ってマルウェア? Multi-stage incident involving Execution & Defense evasion
on one endpoint より いいえ。タスクスケジューラのコマンドです。 悪性ファイルの自動実行を補助するために使います。
15 MITRE ATT&CK の Persistence カテゴリの攻撃に該当
16 類似のプログラムたち • ASEP • Auto Start Entry Point の略で
Windows 起動時に同時に起動するプログラムを 指定するレジストリの領域 • Autoruns プログラム (Windows Sysinternals) から確認可能 • sc.exe • サービスの登録・実行などを管理するコマンドベースのプログラム • 実行方法 sc.exe create badservice binpath=c:¥users¥admin¥downloads¥malware.exe • wmic.exe • コマンドベースで WMI の操作を行うプログラムで、任意のプログラムの遠隔実行が可能 • 実行方法 wmic.exe /node:dc01 process call create “cmd.exe /c netsh advfirewall set allprofiles state off”
知っておきたい Windows の基本知識 その 3 rundll32.exe
18 rundll32.exe ってマルウェア? Suspicious files incident including Ransomware on one
endpoint より いいえ。DLL をロードするためのプログラムです。 こんな感じで実行します。 C:¥Windows¥System32¥rundll32.exe C:¥Windows¥System32¥shell32.dll,Contr ol_RunDLL
19 類似のプログラムたち • dllhost.exe • DLL内の関数を呼び出すためのプログラム • 実行方法 dllhost.exe xxx.dll
• regsvr32.exe • DLL または ActiveX コントロールをレジストリに登録し、 後に実行可能な状態にするためのプログラム • 実行方法 regsvr32 xxx.dll /s
知っておきたい Windows の基本知識 その 4 svchost.exe
21 svchost.exe ってマルウェア? Suspicious files incident including Ransomware on one
endpoint より いいえ。サービス実行を管理するためのプログラムで、次のような書式で命令します svchost.exe -k サービス(グループ)名 -s サービスグループ内の特定のサービス名
知っておきたい Windows の基本知識 まとめ
MDE の監視には Windows はどのようなプログラムから 成り立っているのか?を理解する必要があります。 少しずつでも知識を蓄え、今後に備えていきましょう!
https://AzureAD.net のリンクより詳細をご覧いただけます MDE を学びたい方、ご検討ください