システムログツール Sysmon のバイパス・回避・改ざん手法と対策 | ScanNetSecurity
2020.05.30(土)

システムログツール Sysmon のバイパス・回避・改ざん手法と対策

直訳すれば「Sysmon破り:公式セキュリティアプリケーションの回避方法」といったところだ。

研修・セミナー・カンファレンス セミナー・イベント
Matt Graeber氏
Matt Graeber氏 全 6 枚 拡大写真
 Sysmon といえば、多くのセキュリティ専門家、アナリストにとって欠かせないソフトウェアのひとつではないだろうか。Windows系 OS において、システム機動時からシャットダウンまで、さまざまなイベントをログに落としてくれる。システムアプリケーションとしてデバイスドライバレベルで動作するため、かなりプリミティブな処理もログに残すことができる。

 今夏開催の Blackha USA 2018 の Briefings に「Subverting Sysmon: Application of Formalized Security Product Evasion Methodology」というセッションがあった。直訳すれば「Sysmon破り:公式セキュリティアプリケーションの回避方法」といったところだ。

 発表したのは、Matt Graeber 氏と Lee Christensen 氏。ともに SpecterOps というセキュリティ企業の研究者。Graeber 氏は、罰ゲームのコスプレのようなとぼけた恰好で登壇していたが、これは筋ジストロフィー協会の募金が目標に達した際の約束を実行したとのことだ。Christensen 氏は同社のレッドチーム担当でありスレットハンターでもある。

 Sysmon を選んだのは、それが広く利用されており、自分達の顧客も利用しているからだという。また Sysmon に依存しているベンダも存在するので、対策を促す目的もある。決して Sysmon を貶めたり排除しようというような意図はないことを念押ししていた。

  1. 1
  2. 2
  3. 3
  4. 続きを読む

《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 愛知県の新型コロナウイルス感染者の氏名等495件誤掲載

    愛知県の新型コロナウイルス感染者の氏名等495件誤掲載

  2. 楽天を騙るフィッシングメールを確認、注意喚起を発表(フィッシング対策協議会)

    楽天を騙るフィッシングメールを確認、注意喚起を発表(フィッシング対策協議会)

  3. 今後Nコムは旧サービスにも最新セキュリティ対策実施、撤去予定サーバ経由の不正アクセス発生受け(NTT Com)

    今後Nコムは旧サービスにも最新セキュリティ対策実施、撤去予定サーバ経由の不正アクセス発生受け(NTT Com)

  4. テレワーク実施実態調査:都道府県別・業界別・職種別

    テレワーク実施実態調査:都道府県別・業界別・職種別

  5. 日本はランサムウェア暗号化成功率世界最悪、復旧費用は世界2位の高額(ソフォス)

    日本はランサムウェア暗号化成功率世界最悪、復旧費用は世界2位の高額(ソフォス)

  6. コールセンター業務委託先で新型コロナウイルス相談記録データを誤送信(愛媛県、NTTマーケティングアクト)

    コールセンター業務委託先で新型コロナウイルス相談記録データを誤送信(愛媛県、NTTマーケティングアクト)

  7. 「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

    「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

  8. 問い合わせフォームを悪用した不正メールに注意喚起、発信元IP特定し遮断(船橋市)

    問い合わせフォームを悪用した不正メールに注意喚起、発信元IP特定し遮断(船橋市)

  9. 講師 はせがわようすけ氏、PCI DSS 要件 6.5 安全なコーディング技法のオンライントレーニング(fjコンサルティング、セキュアスカイ・テクノロジー)

    講師 はせがわようすけ氏、PCI DSS 要件 6.5 安全なコーディング技法のオンライントレーニング(fjコンサルティング、セキュアスカイ・テクノロジー)PR

  10. メール配信プログラムのコーディングミス重なる、原価マスク販売で誤送信(トリニティ)

    メール配信プログラムのコーディングミス重なる、原価マスク販売で誤送信(トリニティ)

ランキングをもっと見る