Mahipal

ChromeやEdgeなどの保存データをHindsightで解析し、閲覧履歴やダウンロード、Cookieを時系列に整理。事故調査でWeb上の行動をたどれます。

• 事故調査で閲覧行動をたどりたいとき
• ダウンロードの時刻と取得元の確認
• 内部不正調査でCookieと履歴を照合

不審なPDFを静的解析し、埋め込みJavaScriptや不正コード、添付ファイルを抽出。構造と危険な動作の手掛かりを調べ、検知に使う情報をまとめるスキル。

• 不審なPDF添付ファイルの初期調査
• PDFの脆弱性を悪用する文書の解析
• 埋め込みJavaScriptやファイルの抽出

不審なメールのヘッダーから配送経路や送信元を調べ、SPF・DKIM・DMARCの認証結果と本文のリンク、添付ファイルを確認する調査用スキル。

• 報告された不審メールを初期調査したいとき
• 送信元ドメインのなりすまし確認
• フィッシングメールの配送経路を追いたいとき

AWS S3、GCS、Azure Blob Storageのアクセスログを分析し、時間外の大量取得や未知のIPを検出します。データ持ち出しの調査や検知ルール作成を支援します。

• クラウドからのデータ持ち出し調査
• 時間外の大量取得を見つけたいとき
• 未知のIPや要求急増の確認

不審なIPアドレスやURL、ファイルハッシュを複数の脅威情報源で照合し、悪意の確度と対応優先度を整理します。遮断・監視・許可の判断と根拠の記録を支援するスキルです。

• フィッシングメールの侵害指標の初期評価
• アラート内の不審なIPやURLの調査
• 大量の侵害指標を遮断前に評価したいとき

マルウェアが解析環境を見抜いて動作を隠す兆候を、CuckooやAnyRunの動作記録から調べ、根拠となるAPI呼び出しや手法別の評価をまとめるスキル。

• 解析環境で動かない検体を調べたいとき
• 動作レポートの解析回避兆候の確認
• 解析妨害を捉える検知ルールの検討

証明書の公開発行ログを調べ、自社ブランドに似た不審なドメインや無許可の証明書発行を探します。過去の履歴検索、リアルタイム監視、検出理由付きのレポート作成を支援します。

• 自社ブランドに似たドメインの監視
• 証明書の発行履歴を調べたいとき
• 公開ログからのサブドメイン調査

不審なURLをURLScan.ioの隔離環境で調べ、画面・転送先・通信先からフィッシングの兆候を確認し、関連ドメインやIPなどの調査情報を抽出するスキル。

• メール内の不審なリンクを調べたいとき
• なりすましや認証情報の入力欄の確認
• 転送経路とドメイン・IP・ハッシュの抽出

Active Directoryのアクセス権をldap3で調べ、一般ユーザーに与えられた危険な権限と権限昇格につながる経路を特定し、修正案をまとめるスキル。

• Active Directoryの過剰権限点検
• 一般アカウントからの権限昇格経路の調査
• 影響対象と権限の修正案の報告

Linuxの認証ログ、コマンド履歴、SSH鍵、定期実行やサービス設定を調べ、侵入の証拠と不正なアクセス維持の仕組み、攻撃者の操作を追跡するスキルです。

• 侵害が疑われるLinuxサーバーの調査
• 不正なアクセス維持の仕組みを探す
• ログと履歴から利用者の操作を追跡

不審なAndroidのAPKを実行せずに解析し、危険な権限の組み合わせや不審なAPI呼び出し、通信先を調べ、リスク評価をJSONレポートにまとめるスキル。

• 不審なAPKを実行せずに調べたいとき
• 危険な権限やAPI呼び出しの確認
• マルウェア検知ルール用の通信先抽出

Linuxの監査ログをausearchとaureportで検索・集計し、不正アクセスや権限昇格、重要ファイルの改変を調べ、侵入後の操作を時系列に整理するスキル。

• 不正アクセスや権限昇格の調査
• 重要ファイルやSSH鍵の改変確認
• インシデントの時系列を整理したいとき

Wiresharkとtsharkで通信データを収集・解析し、不審な接続や通信障害を調べます。関連ファイルの抽出から調査用の証拠保存、報告まで支援します。

• 侵入や情報流出の疑いを調べたいとき
• 再送やDNS障害を診断したいとき
• ファイアウォールやIDSルールの検証

AWS API Gateway、Kong、Nginxのアクセスログを集計し、他人のデータを探るアクセスや認証失敗の急増など、APIの不正利用の兆候を調べます。

• 連番IDへの不審なアクセスの調査
• 認証失敗の急増を調べたいとき
• 回数制限の回避や不正入力の調査

サイバー攻撃の通信基盤や手口、マルウェアの類似点などの証拠を比較し、複数の攻撃者候補について根拠と確信度を整理した評価レポートを作るスキル。

• インシデントに関与した攻撃者の推定
• 複数の攻撃活動の通信基盤・手口の比較
• 矛盾する証拠を複数の仮説で検討したいとき

隔離環境でマルウェアを実行し、プロセス・通信・ファイル変更を観察します。感染経路や常駐化の仕組みを調べ、侵害の手がかりをレポートにまとめるスキルです。

• 静的解析後の不審ファイルを調べたいとき
• 多段階の感染経路と常駐化の調査
• 観察した挙動から侵害の手がかりを抽出

Cobalt Strikeの通信設定やBeaconの設定を解析し、URLパス・ヘッダー・通信間隔などを抽出して、ネットワーク検知ルールにまとめるスキル。

• 入手したMalleable C2の解析
• Beaconペイロードの通信設定抽出
• Suricata・Snortの検知ルール作成

侵入の記録を攻撃の七段階に当てはめ、攻撃者が進んだ範囲と防御の成否を整理します。検知の抜けを明らかにし、より早い段階で止めるための対策を報告書にまとめます。

• 事故後に攻撃の進行を整理したいとき
• 攻撃段階ごとの検知漏れの確認
• 早期に攻撃を止める多層防御の検討

Linux上でddやdcflddを使い、調査対象のドライブやUSBの証拠保全用コピーを作成します。書き込み防止、ハッシュ照合、取得記録の作成まで扱います。

• 調査前にドライブを保全したいとき
• USBやメモリーカードの証拠保存
• ディスクコピーの一致を検証したいとき

実行ファイルやメモリダンプからCobalt StrikeのBeacon設定を抽出し、通信先や通信間隔を調べるスキル。関連検体の照合や検知ルール作成を支援します。

• 不審なファイルから設定を抽出したいとき
• 攻撃側の通信先と通信特性の調査
• watermarkで検体を比較したいとき

攻撃グループの手法をMITRE ATT&CK Navigatorで可視化し、複数グループの共通点や既存の検知で捉えられない手法を整理して、対策の優先順位を検討します。

• 攻撃グループの手法を可視化したいとき
• 複数グループに共通する攻撃手法の比較
• 既存の検知範囲の不足を調べたいとき

不審なWord・Excel・PowerPoint文書からマクロを抽出し、難読化されたコードを読み解いて、外部ファイルの取得先や実行方法、攻撃の流れを調べるスキル。

• 不審なメール添付文書の調査
• VBAに隠された取得先URLの確認
• Excel 4.0マクロの解析

Linuxの不審な実行ファイルを、内部構造の確認と実行時の追跡で分析します。通信先や不正な処理、再起動後も動作を続ける仕組みを調べ、調査結果と侵害の手がかりを整理します。

• Linuxサーバーの不審な実行ファイルの初期調査
• 不正な採掘プログラムの疑いを調べたいとき
• コンテナ内で見つかったマルウェアの解析

Malpediaでマルウェアの別名や攻撃グループとの関係、他のマルウェアを読み込む連鎖を調べ、関連情報の整理と検知用YARAルールの収集を進めるスキル。

• ベンダーごとのマルウェア名の照合
• 攻撃グループとマルウェアの関係整理
• マルウェアの読み込み連鎖の調査