Mahipal

Secure Bootの状態や失効リスト、起動ファイルを調べ、OS起動前に潜む不正プログラムの兆候を確認します。LinuxとWindowsでの監査手順を扱います。

• ブートキットの注意喚起後の監査
• 管理端末への失効リスト反映確認
• ブートキット感染が疑われる端末調査

Windowsの認証ログを照合し、盗まれたKerberosチケットの使い回しを調べます。複数端末での再利用や暗号方式、要求数の異常を検知ルールと報告にまとめます。

• 盗まれた認証チケットの再利用調査
• SplunkやElasticの検知ルール作成
• チケット要求数の異常を調べたいとき

npmパッケージや依存関係を調べ、インストール時の不正処理や認証情報の流出を検査します。既知の悪性バージョンとの照合や隔離環境での挙動確認を支援します。

• 新しいnpm依存関係を採用前に調べたいとき
• コードレビューで依存ファイルを確認したいとき
• 既知の悪性バージョンとの照合

ランサムウェアによる暗号化前の不審な通信を捉えるため、ネットワーク検知ルールと複数ログの関連付けを設計し、調査・隔離の判断手順を整えるスキル。

• 暗号化前の不審な通信の検知ルール作成
• ログイン失敗・探索・共有アクセスの関連分析
• 社内ネットワークの異常通信調査

Azure Storageの公開設定、暗号化、アクセス権限、ネットワーク制限、ログを横断的に点検し、データ露出につながる設定不備と修正方針を整理します。

• 複数サブスクリプションを監査したいとき
• 公開Blobのデータ露出を調べたいとき
• 暗号化・通信制限・ログを確認したいとき

ファイル内容のランダムさの変化と大量の書き換え、拡張子変更などを組み合わせ、ランサムウェアによる暗号化の兆候をリアルタイムで検知する仕組みを作るスキル。

• 端末やファイルサーバーの暗号化監視
• 誤検知を減らすしきい値調整
• 暗号化が疑われるプロセスの調査

公開サーバーのログからポート探索やSSHへの総当たり攻撃を検出し、Fail2banで送信元IPを自動遮断。通知や繰り返す攻撃への設定も整えます。

• 公開サーバーのポート探索を遮断
• SSHの総当たり攻撃対策
• Nginxの不審なアクセス検出

Windowsの認証情報窃取を、EDR・Sysmon・セキュリティログの照合で調査し、不審なアクセスの検知から漏えいの可能性がある範囲の整理まで進めるスキル。

• LSASSへの不審なアクセス警告の調査
• Windowsの認証情報窃取の痕跡調査
• 漏えいの可能性がある認証情報の範囲確認

KubernetesのPod内で想定を超える権限を得る動きを、設定・実行時の挙動・監査ログから調べます。特権コンテナや危険な権限を検出し、起動時の制限も整えるスキルです。

• root実行や特権モードのPodの洗い出し
• ホスト領域へのアクセスと危険な権限の点検
• コンテナ実行中の権限変更を検知したいとき

不審なモバイルアプリの権限、通信、実行中の動作を調べ、情報流出やSMS傍受、認証情報の窃取などの兆候を整理して、マルウェアの種類を検討するスキル。

• 不審なAPK・IPAの初期調査
• モバイルアプリの情報流出を調べたいとき
• SMS傍受や認証情報窃取の確認

PowerShellの不審な実行を端末やログの記録から調べ、エンコードされたコマンドや検査回避の兆候を分析し、侵害範囲と対応案を整理するスキル。

• 不審なPowerShell実行の調査
• 端末監視やログ分析の警告を調べたいとき
• PowerShell関連の侵害範囲の確認

許可されたコンテナ侵入試験で、特権設定やホスト共有、runCの脆弱性によるホストへの脱出を検証し、影響の証拠と修正すべき原因を整理するスキル。

• 承認範囲内でのコンテナ脱出試験
• 特権設定やhostPathの影響評価
• コンテナ脱出防止策の有効性検証

Windowsの認証ログと端末台帳を照合し、認証元の不一致や通信の痕跡からNTLM認証の中継攻撃を調べ、署名設定の監査や検知ルール作成に使うスキル。

• 認証元IPと端末名の不一致の調査
• SIEM向け中継攻撃検知ルールの作成
• SMB・LDAP署名の必須設定の監査

正規のプロセスに不正なコードを埋め込む攻撃を、メモリやWindowsのイベントから調べ、注入手法の分類、証拠の整理、検知ルール作成まで進めるスキル。

• 正規プロセスの不審な通信を調べたいとき
• メモリダンプから不正コードを探したいとき
• プロセスへのコード注入手法を分類したいとき

Sysmonのログを突き合わせ、正規プロセスに不正なコードを潜ませる攻撃の兆候を調べます。DLL読み込みやプロセス間アクセスを分析し、検出結果を整理します。

• EDRのプロセス間アクセス警告の調査
• 正規プロセスに潜む不正コードの探索
• Sysmonの検出範囲を確認したいとき

Microsoft Entra IDのアプリに与えられた権限と同意の監査ログを調べ、過剰なアクセス権や未検証の発行元を手がかりに、不審な権限付与を洗い出すスキル。

• 不審なアプリへの同意を調べたいとき
• メールやファイルへの広範な権限の点検
• 監査ログで同意の経緯を追いたいとき

WindowsのUAC回避やLinuxの権限昇格の兆候を調べます。レジストリ変更、プロセスの親子関係、権限の変化を確認し、不審な操作とリスクを整理します。

• WindowsのUAC回避を調査したいとき
• 管理者権限の取得経路の調査
• Linuxのsudoやsetuid悪用の監視

標的型フィッシングメールを検知・遮断するため、メールゲートウェイのなりすまし保護、リンク検査、添付ファイル解析、独自ルールと通知の設定を支援するスキル。

• 標的型フィッシング対策の強化
• 役員や取引先のなりすまし検知
• リンク・添付ファイル保護の点検

Windowsの正規ツールを悪用する攻撃を、実行ログや親子プロセスの関係、Sigmaルールで検出し、深刻度と根拠をレポートに整理するスキル。

• Windows標準ツールの悪用調査
• 不審な引数のSigmaルール作成
• Officeからの不自然な起動の検出

産業制御ネットワークのModbus通信を監視し、不正な書き込みや通常と異なる操作を検出。PLCの設定改変の調査や、検知ルールの整備を支援します。

• PLCの不正な値変更を調べたいとき
• Modbusの侵入検知ルール整備
• 侵害後の通信パターン確認

SuricataやSnortでポートスキャンやネットワーク探索を検知するルールを整えます。通信の特徴と接続回数を使う判定、通知量の調整、送信元別のログ集計を支援します。

• NmapやMasscanの検知ルール作成
• 社内ネットワークの探索を監視したいとき
• 正規スキャナーの通知調整

Windowsのタスク作成・変更ログをSysmonと照合し、不審な実行元やエンコードされたコマンド、遠隔作成を手掛かりに攻撃者の常駐や他端末への侵入を調べます。

• 不審なタスクの作成経緯を調べたいとき
• エンコードされたコマンドを探したいとき
• 遠隔タスク作成を検知したいとき

Windowsの認証ログからリモートデスクトップへの総当たり攻撃を調べ、送信元IPや狙われたアカウント、失敗後のログイン成功をJSONに整理するスキル。

• 公開RDPの認証失敗を調べたいとき
• パスワード推測の対象を特定したいとき
• 連続失敗後のログイン成功を確認したいとき

クラウド上で攻撃手法を再現し、監視ログや警告が想定どおりに出るかを検証します。Stratus Red Teamによる準備、実行、変更の取り消し、後片付けまで扱います。

• クラウドの検知ルールを確認したいとき
• ログ取り込みと警告経路の動作確認
• 攻撃役と防御役による共同演習