ADS(Alternate Data Streams / 代替データストリーム)という言葉にぶち当たったので、備忘録。
ポイントは下記の6つ。
ちなみにADSに出会ったきっかけは4.
ADSを使った不審なモジュールがあるとEDR(Endpoint Detection and Response)システムからアラートを受け、調べることに・・・。
１．NTFSファイルシステムのファイル／ディレクトリに保存できる、隠しファイル
２．１つのファイル／ディレクトリに対して複数のADSを保存できる
３．用途の例としては、インターネットからダウンロードしたファイルを開く時に警告画面を表示させる、など
４．Poison Ivy（トロイの木馬）などのマルウェアの隠し場所としても悪用されているらしい
５．streams.exeでADSの検索／削除が可能
６．Windows標準機能(コマンドプロンプト、PowerShell含む）でも、ADSの作成／検索／削除が可能
インシデントレスポンスで、ガチでテクニカルな部分をやるには、やはりOSやファイルシステムの深いところまで抑えないといけないのか。。。
ユーザー企業でのセキュリティ対応は、どこまでを自社でツールと体制を整備して実施し、どこからを外部のセキュリティベンダーに任せるかが結構悩ましい。
リクルートなんかは、下手なセキュリティベンダーよりもしっかり体制組んでいるのですごいと思う。
【参考URL】
代替データストリーム（ADS）について色々調べてみた
NTFS Alternate Data Streams For Beginner