Mahipal

WindowsのPowerShellログからEmpireに特徴的な起動コマンドや通信先、モジュールの痕跡を探し、不審な活動を時系列と重要度付きで報告するスキル。

• Empireの活動が疑われる場合の調査
• 符号化コマンドや通信先を確認したいとき
• Empireの検知ルール作成

Windowsに残るフォルダー閲覧の痕跡を解析し、削除済みの場所や取り外したUSB、ネットワーク共有へのアクセス履歴を調べるスキル。

• フォルダーの閲覧履歴を調べたいとき
• 取り外したUSBの閲覧痕跡の調査
• 削除済みフォルダーのアクセス調査

GCPのアクセス権限を組織やプロジェクト単位で監査し、広すぎるロール、不要なサービスアカウント鍵、なりすましや公開設定のリスクを洗い出して、見直しにつなげます。

• GCP組織全体の権限を見直したいとき
• OwnerやEditorを減らしたいとき
• 未使用アカウントと鍵の棚卸し

WindowsのPrefetchファイルから実行日時や回数、参照ファイルを抽出し、プログラムの実行履歴と名前を偽装した疑いのある実行ファイルを調べるスキル。

• プログラムの実行時系列を復元したいとき
• 名前を変えた実行ファイルの調査
• 不審なツールや実行頻度の確認

不審なPDFを閲覧せずに内部構造を調べ、埋め込まれたJavaScriptやファイル、外部URLを抽出し、攻撃の仕組みと調査結果を整理するスキル。

• 不審な添付PDFを一次調査したいとき
• JavaScriptや自動実行を調べたいとき
• 埋め込みファイルやURLを抽出したいとき

ランサムウェアの情報公開サイトに掲載された被害組織の情報を収集・整理し、攻撃グループの活動推移や業種・国別の傾向を分析して報告書にまとめます。

• 攻撃グループの月次動向を追いたいとき
• 業種・国別のリスク評価
• 新たな攻撃グループの把握

AWSのS3バケットを監査し、意図しない公開、過剰なアクセス権限、暗号化やバージョニングの設定を確認します。問題点と修正策を報告書に整理する手順も扱います。

• 新規管理するAWSアカウントの設定確認
• S3の公開警告を調べたいとき
• アクセス権限の定期監査

TLS証明書の公開発行記録を検索し、ブランド名に似せたドメインや想定外の発行元を確認して、フィッシングや未把握のIT利用の兆候を調べます。

• ブランドを装うドメインの調査
• 想定外の証明書発行元の確認
• 未把握のドメインやIT資産の調査

OutlookのPST・OSTファイルから本文、ヘッダー、添付ファイルや削除済み項目を抽出し、メールの配送経路や通信履歴を調べるスキル。

• Outlookの不審メールを調べたいとき
• ヘッダーから配送経路を追いたいとき
• 添付ファイルを抽出したいとき

既知の不審なドメインやIPを起点に、DNS履歴や登録情報から関連する攻撃基盤を探索。関係図を作り、既知の命名パターンに合う新たなドメインを監視します。

• 既知の不審IPから関連ドメイン探索
• 攻撃者のC2基盤の関係図作成
• 既知の命名パターンに合うドメイン監視

マルウェアが解析環境を見抜いて動作を隠す兆候を、CuckooやAnyRunの動作記録から調べ、根拠となるAPI呼び出しや手法別の評価をまとめるスキル。

• 解析環境で動かない検体を調べたいとき
• 動作レポートの解析回避兆候の確認
• 解析妨害を捉える検知ルールの検討

取得済みのRAMダンプをVolatilityで解析し、不審なプロセスや注入されたコード、通信履歴などを調べ、侵害の痕跡を時系列と報告書にまとめるスキル。

• EDR警告後のファイルレスマルウェア調査
• 隠されたプロセスやコード注入の調査
• 不審なプロセスと通信先の関連確認

ChromeやEdgeなどの保存データをHindsightで解析し、閲覧履歴やダウンロード、Cookieを時系列に整理。事故調査でWeb上の行動をたどれます。

• 事故調査で閲覧行動をたどりたいとき
• ダウンロードの時刻と取得元の確認
• 内部不正調査でCookieと履歴を照合

証明書の公開発行ログを調べ、自社ブランドに似た不審なドメインや無許可の証明書発行を探します。過去の履歴検索、リアルタイム監視、検出理由付きのレポート作成を支援します。

• 自社ブランドに似たドメインの監視
• 証明書の発行履歴を調べたいとき
• 公開ログからのサブドメイン調査

Linuxの不審な実行ファイルを、内部構造の確認と実行時の追跡で分析します。通信先や不正な処理、再起動後も動作を続ける仕組みを調べ、調査結果と侵害の手がかりを整理します。

• Linuxサーバーの不審な実行ファイルの初期調査
• 不正な採掘プログラムの疑いを調べたいとき
• コンテナ内で見つかったマルウェアの解析

不審なWord・Excel・PowerPoint文書からマクロを抽出し、難読化されたコードを読み解いて、外部ファイルの取得先や実行方法、攻撃の流れを調べるスキル。

• 不審なメール添付文書の調査
• VBAに隠された取得先URLの確認
• Excel 4.0マクロの解析

不審なIPアドレスやURL、ファイルハッシュを複数の脅威情報源で照合し、悪意の確度と対応優先度を整理します。遮断・監視・許可の判断と根拠の記録を支援するスキルです。

• フィッシングメールの侵害指標の初期評価
• アラート内の不審なIPやURLの調査
• 大量の侵害指標を遮断前に評価したいとき

Linuxの監査ログをausearchとaureportで検索・集計し、不正アクセスや権限昇格、重要ファイルの改変を調べ、侵入後の操作を時系列に整理するスキル。

• 不正アクセスや権限昇格の調査
• 重要ファイルやSSH鍵の改変確認
• インシデントの時系列を整理したいとき

メモリダンプをVolatility3で解析し、ヒープスプレー攻撃に特徴的な大量のメモリ確保や反復パターンを探し、疑わしい領域とコードを報告します。

• メモリダンプでヒープスプレーを調べたいとき
• メモリ内の疑わしいコードを抽出したいとき
• 検出ルール作成のために痕跡を整理したいとき

Malpediaでマルウェアの別名や攻撃グループとの関係、他のマルウェアを読み込む連鎖を調べ、関連情報の整理と検知用YARAルールの収集を進めるスキル。

• ベンダーごとのマルウェア名の照合
• 攻撃グループとマルウェアの関係整理
• マルウェアの読み込み連鎖の調査

Linuxの認証ログ、コマンド履歴、SSH鍵、定期実行やサービス設定を調べ、侵入の証拠と不正なアクセス維持の仕組み、攻撃者の操作を追跡するスキルです。

• 侵害が疑われるLinuxサーバーの調査
• 不正なアクセス維持の仕組みを探す
• ログと履歴から利用者の操作を追跡

LinuxのメモリをLiMEで取得し、Volatility 3でプロセスや通信、コマンド履歴、不審なコードを調べ、侵害されたシステムの調査を進めるスキル。

• 侵害されたLinuxのメモリ取得
• プロセス一覧を比較したいとき
• コマンド履歴と通信の確認

Linuxのメモリ記録と稼働中のシステムを調べ、隠されたカーネルモジュールや処理の改変、表示情報の食い違いからルートキットの痕跡を探すスキル。

• Linuxのルートキット感染を調べたいとき
• メモリから隠されたモジュールを探したいとき
• モジュール一覧の食い違いの確認

通信の記録からDNS・ICMP・HTTPに隠されたマルウェアの通信経路を調べ、ドメイン名の特徴や通信量の異常を手掛かりに、不審な通信の候補を整理するスキル。

• 不審なDNS・ICMP・HTTP通信の調査
• 通信記録から隠れた指令経路を探したいとき
• 異常な通信による情報流出の可能性調査