システムログツール Sysmon のバイパス・回避・改ざん手法と対策 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.09.18(水)

システムログツール Sysmon のバイパス・回避・改ざん手法と対策

直訳すれば「Sysmon破り:公式セキュリティアプリケーションの回避方法」といったところだ。

研修・セミナー・カンファレンス セミナー・イベント
Matt Graeber氏
Matt Graeber氏 全 6 枚 拡大写真
 Sysmon といえば、多くのセキュリティ専門家、アナリストにとって欠かせないソフトウェアのひとつではないだろうか。Windows系 OS において、システム機動時からシャットダウンまで、さまざまなイベントをログに落としてくれる。システムアプリケーションとしてデバイスドライバレベルで動作するため、かなりプリミティブな処理もログに残すことができる。

 今夏開催の Blackha USA 2018 の Briefings に「Subverting Sysmon: Application of Formalized Security Product Evasion Methodology」というセッションがあった。直訳すれば「Sysmon破り:公式セキュリティアプリケーションの回避方法」といったところだ。

 発表したのは、Matt Graeber 氏と Lee Christensen 氏。ともに SpecterOps というセキュリティ企業の研究者。Graeber 氏は、罰ゲームのコスプレのようなとぼけた恰好で登壇していたが、これは筋ジストロフィー協会の募金が目標に達した際の約束を実行したとのことだ。Christensen 氏は同社のレッドチーム担当でありスレットハンターでもある。

 Sysmon を選んだのは、それが広く利用されており、自分達の顧客も利用しているからだという。また Sysmon に依存しているベンダも存在するので、対策を促す目的もある。決して Sysmon を貶めたり排除しようというような意図はないことを念押ししていた。

  1. 1
  2. 2
  3. 3
  4. 続きを読む

《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. リコー製プリンタや複合機に任意コード実行などの脆弱性(JVN)

    リコー製プリンタや複合機に任意コード実行などの脆弱性(JVN)

  2. 「OpenSSL」アップデート、情報漏えいなどの脆弱性に対応(JVN)

    「OpenSSL」アップデート、情報漏えいなどの脆弱性に対応(JVN)

  3. 架空請求の封筒の実物写真のマスキング処理が不適切、特定のソフトで容易に外せる状態に(神奈川県)

    架空請求の封筒の実物写真のマスキング処理が不適切、特定のソフトで容易に外せる状態に(神奈川県)

  4. 高額なコンサル不要 !? ~ ISOG-J 公開三つの無料ドキュメント活用方法

    高額なコンサル不要 !? ~ ISOG-J 公開三つの無料ドキュメント活用方法

  5. 個人情報記載書類を委託事業者が紛失、今後は書類ではなく暗号化したデータでの報告に切り替え(大阪市)

    個人情報記載書類を委託事業者が紛失、今後は書類ではなく暗号化したデータでの報告に切り替え(大阪市)

  6. 「なんとかデータベース」へ不正アクセス、会員情報169,843件が流出の可能性(スープレックス)

    「なんとかデータベース」へ不正アクセス、会員情報169,843件が流出の可能性(スープレックス)

  7. 「マグちゃんオンラインショップ」に不正アクセス、最大2,905件のカード情報が流出の可能性(宮本製作所)

    「マグちゃんオンラインショップ」に不正アクセス、最大2,905件のカード情報が流出の可能性(宮本製作所)

  8. 「CODE BLUE」全25セッションの講演者が決定(CODE BLUE実行委員会)

    「CODE BLUE」全25セッションの講演者が決定(CODE BLUE実行委員会)

  9. OTネットワークを可視化しセキュリティリスクを監視(NRIセキュア)

    OTネットワークを可視化しセキュリティリスクを監視(NRIセキュア)

  10. LINEの「apng-drawable」に任意コード実行などの脆弱性(JVN)

    LINEの「apng-drawable」に任意コード実行などの脆弱性(JVN)

ランキングをもっと見る