テスト・セキュリティのスキル

Office 365の監査ログから、不審なメール転送、権限変更、アプリへのアクセス許可を調べ、アカウント侵害の兆候を時系列とJSONレポートにまとめるスキル。

• 不審なメール転送を調べたいとき
• メールボックスの代理権限変更の確認
• 不審なアプリ認可を調べたいとき

サイバー攻撃の通信基盤や手口、マルウェアの類似点などの証拠を比較し、複数の攻撃者候補について根拠と確信度を整理した評価レポートを作るスキル。

• インシデントに関与した攻撃者の推定
• 複数の攻撃活動の通信基盤・手口の比較
• 矛盾する証拠を複数の仮説で検討したいとき

Linuxの監査ログをausearchとaureportで検索・集計し、不正アクセスや権限昇格、重要ファイルの改変を調べ、侵入後の操作を時系列に整理するスキル。

• 不正アクセスや権限昇格の調査
• 重要ファイルやSSH鍵の改変確認
• インシデントの時系列を整理したいとき

DNSの問い合わせログから、データ持ち出しや不審な遠隔指令通信の兆候を調べます。文字列のランダムさ、長さ、通信量を分析し、端末情報と照合するスキルです。

• DNS経由の情報流出を調べたいとき
• マルウェアの自動生成ドメイン調査
• DNS問い合わせが多い端末の確認

不審なメールのヘッダーから配送経路や送信元を調べ、SPF・DKIM・DMARCの認証結果と本文のリンク、添付ファイルを確認する調査用スキル。

• 報告された不審メールを初期調査したいとき
• 送信元ドメインのなりすまし確認
• フィッシングメールの配送経路を追いたいとき

実行ファイルやメモリダンプからCobalt StrikeのBeacon設定を抽出し、通信先や通信間隔を調べるスキル。関連検体の照合や検知ルール作成を支援します。

• 不審なファイルから設定を抽出したいとき
• 攻撃側の通信先と通信特性の調査
• watermarkで検体を比較したいとき

米国防総省との契約で扱う管理対象情報の範囲を整理し、セキュリティ要件の対応状況、評価スコア、改善計画をまとめ、CMMC Level 2の審査準備を支援するスキル。

• CUIを扱うシステムの評価範囲整理
• SPRSスコアの算出と改善の優先順位付け
• セキュリティ計画と改善期限、審査証拠の整理

Wiresharkとtsharkで通信データを収集・解析し、不審な接続や通信障害を調べます。関連ファイルの抽出から調査用の証拠保存、報告まで支援します。

• 侵入や情報流出の疑いを調べたいとき
• 再送やDNS障害を診断したいとき
• ファイアウォールやIDSルールの検証

隔離環境でマルウェアを実行し、プロセス・通信・ファイル変更を観察します。感染経路や常駐化の仕組みを調べ、侵害の手がかりをレポートにまとめるスキルです。

• 静的解析後の不審ファイルを調べたいとき
• 多段階の感染経路と常駐化の調査
• 観察した挙動から侵害の手がかりを抽出

AWS S3、GCS、Azure Blob Storageのアクセスログを分析し、時間外の大量取得や未知のIPを検出します。データ持ち出しの調査や検知ルール作成を支援します。

• クラウドからのデータ持ち出し調査
• 時間外の大量取得を見つけたいとき
• 未知のIPや要求急増の確認

Linuxの不審な実行ファイルを、内部構造の確認と実行時の追跡で分析します。通信先や不正な処理、再起動後も動作を続ける仕組みを調べ、調査結果と侵害の手がかりを整理します。

• Linuxサーバーの不審な実行ファイルの初期調査
• 不正な採掘プログラムの疑いを調べたいとき
• コンテナ内で見つかったマルウェアの解析

通信の記録からDNS・ICMP・HTTPに隠されたマルウェアの通信経路を調べ、ドメイン名の特徴や通信量の異常を手掛かりに、不審な通信の候補を整理するスキル。

• 不審なDNS・ICMP・HTTP通信の調査
• 通信記録から隠れた指令経路を探したいとき
• 異常な通信による情報流出の可能性調査

不審なAndroidのAPKを実行せずに解析し、危険な権限の組み合わせや不審なAPI呼び出し、通信先を調べ、リスク評価をJSONレポートにまとめるスキル。

• 不審なAPKを実行せずに調べたいとき
• 危険な権限やAPI呼び出しの確認
• マルウェア検知ルール用の通信先抽出

SolidityのスマートコントラクトをSlitherとMythrilで解析します。再入攻撃や権限管理などの脆弱性を調べ、重要度と修正案を監査レポートにまとめるスキル。

• 公開前のSolidityコード点検
• 再入攻撃や権限管理の弱点を調べたいとき
• SlitherとMythrilの結果統合

LinuxのメモリをLiMEで取得し、Volatility 3でプロセスや通信、コマンド履歴、不審なコードを調べ、侵害されたシステムの調査を進めるスキル。

• 侵害されたLinuxのメモリ取得
• プロセス一覧を比較したいとき
• コマンド履歴と通信の確認

Kubernetesの監査ログから、Pod内への接続や機密情報の参照、権限変更などを抽出し、侵害時の操作の追跡と監視ルールの作成に役立てるスキル。

• クラスタ侵害時のAPI操作追跡
• Kubernetesの機密情報へのアクセス確認
• 権限変更や特権Podの調査

Windowsのショートカットと最近使ったファイルの記録を解析し、削除済みファイルへのアクセスやプログラム実行、外部媒体利用の痕跡を時系列で調べるスキル。

• ファイルアクセスと実行履歴の時系列整理
• 削除済みファイルへのアクセスを調べたいとき
• 外部媒体の利用痕跡の調査

マルウェアと指令サーバーの通信を解析し、定期通信の間隔や命令形式、予備の接続先を整理して、調査報告書とネットワークの検知ルールを作るスキル。

• 通信記録から不正な指令通信を調査
• 定期通信の間隔と揺らぎの分析
• 指令サーバーと予備の接続先の整理

Linuxのメモリ記録と稼働中のシステムを調べ、隠されたカーネルモジュールや処理の改変、表示情報の食い違いからルートキットの痕跡を探すスキル。

• Linuxのルートキット感染を調べたいとき
• メモリから隠されたモジュールを探したいとき
• モジュール一覧の食い違いの確認

証明書の公開発行ログを調べ、自社ブランドに似た不審なドメインや無許可の証明書発行を探します。過去の履歴検索、リアルタイム監視、検出理由付きのレポート作成を支援します。

• 自社ブランドに似たドメインの監視
• 証明書の発行履歴を調べたいとき
• 公開ログからのサブドメイン調査

攻撃グループの手法をMITRE ATT&CK Navigatorで可視化し、複数グループの共通点や既存の検知で捉えられない手法を整理して、対策の優先順位を検討します。

• 攻撃グループの手法を可視化したいとき
• 複数グループに共通する攻撃手法の比較
• 既存の検知範囲の不足を調べたいとき

NetFlow v9やIPFIXの通信記録を解析し、通信量の急増、不審な外部送信、周期的な接続などを調べ、優先順位付きの調査レポートにまとめるスキル。

• ネットワーク通信量の急増を調べたいとき
• 不審な外部送信を調べたいとき
• 外部への周期的な接続を探したいとき

Go製マルウェアの実行ファイルをGhidraで解析し、関数名や依存ライブラリ、埋め込み文字列を調べます。難読化や名前の削除で読みにくい検体の構造把握を支援します。

• Go製マルウェア検体の構造調査
• 削除・難読化された関数名の復元
• 埋め込まれたモジュールや依存関係の確認

Windowsの自動起動設定をSysinternals Autorunsで調べ、署名や保存場所、正常時との差分からマルウェアの永続化が疑われる項目を絞り込むスキル。

• Windows端末の不審な自動起動調査
• 正常時との差分を確認したいとき
• 駆除後の自動起動設定の残存確認