【転載】既存機能を活用したマルウェア感染対策の考察～Windows Defender、レジストリのマクロ自動実行無効化、子プロセスの生成停止の3点がポイント～



こんな機能知らなかったので、とりあえず設定してみる https://t.co/b4gU74ehx0

Quoted tweet from @nknskn:

はてなブログに投稿しました
ぼくのかんがえたさいきょうのマルウェア感染対策（EmotetのVBAを覗いて、VBAマクロに対する防御を考える） - news-nknsknの日記 news-nknskn.hatenablog.com/entry/2020/10/…: こんな機能知らなかったので、とりあえず設定してみる https://t.co/b4gU74ehx0

はてなブログに投稿しました

ぼくのかんがえたさいきょうのマルウェア感染対策（EmotetのVBAを覗いて、VBAマクロに対する防御を考える） - news-nknsknの日記 news-nknskn.hatenablog.com/entry/2020/10/…



ーーーー

Emotetが（何故か）再流行したみたいですね。
本当になぜ再流行したかイマイチわからず、「そもそもどんな感じで書かれているのか」「検知はそんなに難しいのか」「止める方法ってマクロ無効化とかファイル開かない、みたいなのしかないの？」とかちょっと考えてみたくなったので、知ってる範囲でEmotetを止めるための設定を書いてみました。他にこんな方法もあるよ、とかあればコメントいただけると嬉しいです。コマンド一発でグループポリシーに適用させられるやつだとより大勢の管理者の方が幸せになれる気がします。「この設定ファイルイカしてるからグループポリシーにインポートしてみなよ！」みたいのでも可（血涙）DoDのSTIG良いですよねえ...
以下、TOC

最近のマルウェアについてコメント

オンメモリでpowershellが実行されるーとかダウンローダを何回も重ねてるーとか、攻撃に使われているマルウェアにはいくつも特徴がありますが、まあ冷静に考えてオンメモリでpayloadを展開＆実行していても結局やってるのはプロセス生成のためのコマンド実行なわけです。要は「最悪このプロセス生成を止めりゃいいんでないの？」という発想です。
Emotetに関して細かいことを言うと、観測範囲内においては以前から最近のものまで全てVBA内にどうにかこうにかpayloadを隠し持たせ、（見づらくしただけっぽい）難読化コードからpowershellを実行するものが多い印象です。ちなみにいくつかのEmotet解析ブログを見たり自分でもEmotetのVBAコードを見たりしましたが、powershell実行時に使用されているのはたいていWin32_Process.Create()のようでした（下記リンクのうち下二つはその辺書いてない）。直近のEmotetについては以下すぐに触れますが、やっぱりWin32_Process.Create()でpowershellを叩くようになってました。

比較的最近のEmotet VBA（2検体）について

※専門家の知見のもと安全に十分配慮して（ry
細かいところは省略して、重要だと思ったところだけ載せます。難読化している箇所なんていくらでも変えられるから変えているのであって、そこに注目するのは時間の無駄です。想定している動作をさせる上で変えようがないところを見ていきます。
  • 9c6f98f54b5f8b43d3ced2c547a09d7ea30578c696263ad60666ea9e75a22daa
Private Sub _
Document_open()
F5rwxzbfuowsqkbdt.Xbq37kxh8w2e
End Sub

Function Xbq37kxh8w2e()
   On Error Resume Next

'(snip)

Jpfgivlyicd99r9 = Array(Y6gqr6abanqlu + "Wyvln5tc5eq37uvul1 Pdetuctodf7fClhqmwed17ab_10rrr Se951ebi5pq", CreateObject(Bqqta6d91epi).Create(Bqf_3mrtgx7xegw45i, Z_qxvnehzwd7iesunu, Whewr2ng_0nf6zf), Qy4p7grrmlokyk0cbt + "Jenkodabwww Wks5jgvvqe737k Lwkcqakg5joom D6615tagrz7r0wjiv")

'(snip)

End Function

'(snip)
  • 9140dd246193f4397044dce4c62930cb81b729b3900b10c5e9ecf6778a077648
Private Sub Document_open()
Rt055d5md2s7_.Tv2ghyjqs9ofp1
End Sub

'(snip)

Function Tv2ghyjqs9ofp1()
On Error Resume Next

'(snip)

S_widwqm3orw6j3ur.Create CVar(Fq4_elcsi9j), Uc3rl8girme, Qtx_okh1te1i98

'(snip)

End Function

'(snip)
どちらの検体もみて分かる通り、マクロ有効時（Document_open）に、プロセスを生成する（.Create）ことがわかります。 その後、メモリ上に展開されたpowershellがダウンローダとして機能して、exeを4-5 URLから取ってこれるか確認して、ダウンロードできたら実行して〜みたいな流れになりますが（メールでの感染拡大はexeでやってる）、このブログでは「そこまで行ったら負け」という考えでいきます。

アンチウイルスソフトについてコメント

で、Anti-Virus software（以降、AV）関連の話に移ると、（細かいところは省きますが）最近のWindows Defenderさん（以降、Defender）は大変にやっか...優秀になっていて、初弾にあたるVBAマクロに「コマンド実行をするための関数」（Wscript.ShellのRunとかExecとかWin32_ProcessのCreateとかCreateRemoteThreadだとか）が含まれていると、「Defenderが有効」かつ「Defenderのクラウド保護機能が有効」な場合（デフォルト設定ではどちらも有効）に、実行前のOfficeファイルごと削除するようになってたりします。
上記のようなEmotetのマクロには見た通り.Create()が入っているので、上記を満たす端末においては、ファイルを開く前にDefenderがそのファイルを削除してくれるはずです（ブログ執筆時は消されてるものの今後はわからない）。
そんなわけで、現時点における個人の印象としては（Defenderに頼っているので）「Emotetなぞ恐るるに足らず。なんでざわざわしてるのかよくわからん」という感じですが、まあEmotetに限らず攻撃者は手を変え品を変え、検知されないようバレないようにやってくるものです。どうやったら作れるんですかねぇ...最近は開発方針が今一つ（ry。そんなわけでAV以外の設定でなんとか止められないかをみてみます。

Office 365 webでのファイルオープンについて

いつぞやにTwitterで呟いた気もしますが、Office 365を利用している場合、Webベース（ブラウザ）でWordやExcelを使用することができます。またそこでdoc等のファイルを開こうとすると互換性エラーが発生して、強制的にdocx等に変換、その後マクロがないファイルを開くことになります。そのため、Webベースでファイルを開くように徹底することでマクロを一切排除できることから、WebベースでOfficeファイルを扱うことは、VBAマルウェアに対して有効な手段と考えられます（あれ？ローカルのOfficeソフトウェアをなくしてしまえば。。。）。
ただし個人でOffice 365買うの？とか、企業でもすぐにOffice 365へ移行できないよ、、、みたいな話は往々にあることだと思います。なので今回はそれ以外の方法で止められないか、というところを引き続きみます。
不採用：Office 365 WebでOfficeファイルを開くポリシーにする

マクロの自動実行無効化について

では、マクロを業務で利用することがない場合。そんな時はマクロを止めちゃうのが手っ取り早いでしょう。一番声高に推奨されている方法だと思います。
f:id:news-nknskn:20201007200032p:plain
OfficeTrustCenter
ただし、上記のリンク中にもある通り、自動実行を止めたとしてもユーザがマクロを有効にする可能性は大いにあります。というか、感染するケースはユーザが実行する方が多いと思います。なのでpowershellが実行されることを想定して、そこでブロックできないかを考えてみます。

Powershellの実行制限について

Powershellなど不要ら！という前提で考えてみます。その場合、Powershellのプログラムが実行されること自体を止めることが可能です。具体的には、Active Directoryのグループポリシー、ローカルの場合はローカルセキュリティポリシーからPowershellの実行を禁止します。
以下のようにフルパスで設定したとしましょう。
f:id:news-nknskn:20201007194031p:plain
securitypolicy
その後再起動などをしてコンピュータに反映すれば、以下のような形でpowershellの実行を止めることができます。これで、powershell -enc ...のようなプロセス生成は止めることができます。
f:id:news-nknskn:20201007194424p:plain
psblocked
しかしこの場合、Powershellのバイナリを%temp%とかにコピーした上でrenameされたら？とかUnmanaged powershellをダウンロードされて実行される場合は？cmdで頑張ってexe実行までいくケースもあるよね？って話になります。そもそも私はPowershellは日常的に使うので止めたくないです。

それならもうWord.exeからのプロセス生成止められない？Wordで子プロセス生成するケースってどんな場合よ、っていう話があります。
※なお、バイナリファイルの実行をホワイトリストレベルで制限をかける運用を考えている場合、セキュリティポリシーでのブロックは非常に有効な手段になると思います。AppLockerとかAppLocker bypassだとかその辺の話です。興味がある方は調べてみてください。

Officeプログラムからの子プロセス生成を止める

ようやく言いたいところにたどり着きました。Officeから子プロセスを生成する処理というのは、よほどマクロで変態的なことをしない限りないはずです。
以下はWord/Excelに関して、ドキュメントおよびワークブックを複数開いた際に生成されるプロセスおよびそのプロセスツリーを確認した画面です。通常時、子プロセスを生成することはなさそうに思えます（あったら完全に調査不足ですごめんなさい指摘してください）。
f:id:news-nknskn:20201007201155p:plain
OfficeProcesses
Windows 10からはWindows Defenderへの追加機能として、Exploit Guardというものが実装されています。どんな機能があるのか、という点は以下の記事を参照するのが一番良いと思うので適宜見ていただくとして、ここではそのうち一つの機能である「子プロセスを許可しない」設定に注目します。
いろいろggったり資料を見たりするとMS ATPとの組み合わせの記事も多く、「ATPお高いんでしょう？」みたいな印象を持たれがちがもしれませんが、実は（知ってる人は多いかもしれないですけど）Exploit protection自体はATPを導入しなくても普通の市販PCで設定することが可能です。実際に設定して、どう動くのか確認してみます。
Windows セキュリティ > アプリ＆ブラウザコントロール > Exploit protection settings（最下部）
f:id:news-nknskn:20201007201849p:plain
EndpointProtection1
プログラム設定 > プログラム名を追加
f:id:news-nknskn:20201007202017p:plain
EndpointProtection2
タスクマネージャ（とかtasklist）からWordやExcel等Officeソフトの正式プログラム名を確認しておきます（なぜ統一感がないのか）。
f:id:news-nknskn:20201007202308p:plain
f:id:news-nknskn:20201007202311p:plain
それぞれに対し、以下のような感じで「子プロセスの生成を許可しない」設定にし、適用します。設定後、Word、Excelは再起動します（not コンピュータ）。
f:id:news-nknskn:20201007202649p:plain
winword-Disallowchildprocesses
それでは以下のようなサンプルマクロを書いて、実行してみます。
※ここでは動作確認のためWordにブロック設定、Excelにはブロックしない設定にしています。
Private Sub Test()
    'On Error Resume Next
    CreateObject("WScript.Shell").Run "cmd.exe"
    CreateObject("WScript.Shell").Exec "powershell.exe"
    e = GetObject("winmgmts:\\.\root\cimv2:Win32_Process").Create("notepad.exe", null, null, intProcessID)
End Function
Excelで実行、cmd, powershell, notepadが動いていることが確認できます。
f:id:news-nknskn:20201007204931p:plain
execviaexcel
Wordで実行
  • Runがめでたく死亡
f:id:news-nknskn:20201007205257p:plain
ErrorInRun
  • Execも同様に死亡
f:id:news-nknskn:20201007205351p:plain
ErrorInExec
※.Createの部分はOn Error Resume Nextをなくした状態でエラー出力なし、ただしプロセスも起動しないため画面キャプチャはなし。気になった方は試してみてください。
採用：Exploit ProtectionによるOfficeファイルからの子プロセス生成停止

その他のファイルについて

攻撃者は他にもWSH（.js, .vbs）やらexeやらを送ることでどうにかこうにか端末を感染させようと試みたりしますが、その辺に関してはまた別のポリシー設定であったり、外から送られてきたexe実行するの？みたいな話があったりしてまた長くなるので以下省略

採用した項目一覧

上記の内容から以下の項目を採用しました。これでEmotetのようなVBAマルウェアは、プロセス生成までの流れのどこかしらでシステム的にも止められるはずです。
  • Windows Defender（クラウド保護有効）によるプロセス生成系マクロを含むOfficeファイルの削除
  • マクロの自動実行完全無効化（レジストリ）
  • Exploit ProtectionによるOfficeファイルからの子プロセス生成停止

今回不採用だったけど手としてはアリだと思う項目

所感

  • これで取り合えずマクロを開いて即感染！みたいなことは防げると思われ
  • 正直最後のEndpoint protectionだけ有効にすればいいんじゃないかな、みたいな話はありますが、Officeファイル以外からの攻撃手法もあるので複合的に守っていきましょう
  • あれ？Windows Defenderここまで強くなってたの？
  • 侵入後の話でZerologonとかありますけど、どうやって打ち込むところまで辿り着くんでしょうね

追記１：Endpoint protection bypass

Twitterで以下のコメントをいただきました。
全くその通りで、特定のプログラムからのプロセス生成が止められるなら、それ以外のプログラムから実行すりゃええやんって話です。これでEndpoint protection bypassは可能です（ババーン）
ただし今回の設定においては以下が有効であるため、残念ながらこの.shellexecute入りのマクロ付きOfficeファイルは、クラウド保護機能によって消される、もしくはAMSIによってマクロの実行が止められる結果になります。
  • Windows Defender（クラウド保護有効）によるプロセス生成系マクロを含むOfficeファイルの削除
AMSIによってマクロの実行が止められる場合、AMSI bypassテクニックを使うことで検知回避が部分的に可能ですが、bypassテクニックのほとんどはamsiScanBufferに対してアクションを起こすもので、クラウド保護もまるごと回避できるものは寡聞にして知りません。
ここらへんいじくってbypassできれば楽なんだけど誰かブログに書いてくれたりしないかな。日本じゃ無理なのか？
そんなわけで今コメントいただいている方法では、まだ上記の設定でプロセス生成までの流れの中で止めることが可能です。
  • 10/8 AM, 2020: 誤字脱字修正, 「今回不採用だったけど手としてはアリだと思う項目」を追加
  • 10/8 PM, 2020: 追記１


以上
Labels: ,

【転載】永久不滅ポイント、JALマイル交換でレートアップ（2020年9月15日から2020年11月15日）



セゾン・UCの永久不滅ポイント、JALマイル交換でレートアップ:


セゾンカードとUCカードは、永久不滅ポイントからJALマイレージバンクのマイルへの交換で、レートアップキャンペーンを9月15日から11月15日まで実施している。

エントリーの上、セゾンカードとUCカードの永久不滅ポイントをJALのマイルに交換すると、通常は200ポイントが500マイルになるところ、600マイルになる。通常分のマイルは手続き後3〜4週間、ボーナスマイルは2021年1月下旬頃に付与する。

両カードは、利用金額1,000円（税込）ごとに1ポイントを付与している。一部のセゾンカードでは、同10マイルを自動付与する「SAISON MILE CLUBショッピングマイルプラン」の利用ができる。

Labels: ,

【転載】ポイント＆Amazonギフト券がどんどん貯まってしまう？



【無限祭り再来】ポイント＆Amazonギフト券がどんどん貯まってしまう？:

久々に来たか？大ポイント祭り？！無限にポイント・マイル・Amazonギフト券が貯まる？リピート可のレビュー案件の利用で、1回ごとに2,000円がもらえるという衝撃の緊急案件登場中！ 久々すぎる祭り案件かもしれません。 祭...

The post 【無限祭り再来】ポイント＆Amazonギフト券がどんどん貯まってしまう？ first appeared on すけすけのマイル乞食.

ーー

久々に来たか？大ポイント祭り？！無限にポイント・マイル・Amazonギフト券が貯まる？リピート可のレビュー案件の利用で、1回ごとに2,000円がもらえるという衝撃の緊急案件登場中！

お祭り案件って何かというと、利用すると月給のような額のポイントがもらえるような可能性のあるとんでもないやつです。数年に1回くらい登場するんですよ・・・祭り案件。なんか、それが来たのかもしれません。

紹介しておきましょう！ 

ポイントサイト「モッピー」経由で「ITトレンド」にレビューするごとに1,000P＆Amazonギフト券1,000円もらえる！商品ごとに何度でもレビューOK！

今回、マジで強烈なポイ活が利用できるのは、ポイントサイト「モッピー」です。

あなたの1か月分のお小遣いを超える額を簡単に稼げてしまう可能性を秘めているので、マジで注目してください。

 

手順は簡単。

まず、モッピーに下記のバナーからアカウントを作成してください。

モッピー！お金がたまるポイントサイト

今なら、上記バナーからのアカウント作成で2,000Pがもらえる入会キャンペーンもやっているので、ぜひそちらの詳細も上記バナーでチェックしてください！

モッピーポイントの使い方

モッピーのポイントは1P＝1円で複数のポイントに交換も可能です

  • 1P＝1円で銀行振込、Amazonギフト券、dポイント、楽天スーパーポイントなど
  • ANAマイルは、TOKYUルートで交換レート75%。例えば20,000P＝15,000ANAマイル
  • JALマイルは、モッピーのドリームキャンペーンで交換レート最大で80%。例えば20,000P＝16,000JALマイル
  • ウェル活なら1ポイント＝1.5円で利用可能

ポイントの使い方が超魅力的なのが、モッピーの強みです。現金で受け取りもOK、ANAマイルやJALマイルにも交換可能です。JALマイルにも高レートで交換できるポイントサイトはモッピーしかありません。

【モッピーとは】陸マイラーが徹底解説。ポイントの稼ぎ方～ANAマイル・JALマイルへの交換方法まで。

2019-10-08

登録が完了したら、モッピーにログインして「ITトレンド」と検索しましょう。

上記の「ITトレンド」が表示されたら、「POINT GET!」をクリックして、レビュー投稿をしましょう。すると、レビューを投稿する毎にモッピーから1,000P＝1,000円がもらえます！

 

しかも、しかも、しかも、これ「リピートOK」って書いてありますよね？

ポイント付与条件に、

【獲得条件】
IT製品のレビュー投稿完了
※1製品について1回のレビュー投稿完了
※別製品であれば、同一ユーザーでも1製品1回までは承認対象となります。

なんと、1製品ごとにレビュー可能で、レビューごとにポイントが付与されます！！

 

何製品あるのか見ておくと、

なんか、500製品くらいありそうだ・・・これ全部レビューできる人は・・・強烈・・・。1,000円×500・・・・。レビューできそうなものがあるといいですね！一つくらいはみなさんあるかもしれませんし、ごにょごにょ・・・。 

レビューする毎に1,000Pもらえるという強烈な内容ですが、ポイント付与条件にある

【獲得対象外】
※レビュー投稿内容の不備
※同一製品に対して複数回投稿
※不備・不正・虚偽・重複・いたずら・キャンセル
※その他お申込内容に不備がある場合
※本キャンペーンページ以外からの投稿

という項目には注意しておきましょうね。自分が全然詳しくないものに関して投稿レビュ―すると虚偽と判断されるかもしれませんからね・・・。 

しかも、まだ話があります。

なんと、モッピーも1,000Pとは別に、レビューするとITトレンドからもAmazonギフト券1,000円ももらえるんですよ！！！

つまり、レビューする毎に、、、、

  • モッピー1,000P
  • Amazonギフト券1,000円

で2,000円が魔法のようにどんどん増える。このポイ活強烈すぎます。モッピーのポイントはANAマイル・JALマイルにも交換できますし、dポイントやTポイントにも交換可能、またまた現金にも交換可能なので、使い方は無限です。

とにかく、モッピーに下記のバナーからアカウント作成をして、レビューしましょう。

Labels: ,

【転載】セキュリティ企業のインテリジェンス情報の偏りをなくした最強のFirewall構成！？

EjxxtnyUwAIwzW3.png:large
本気でセキュリティ企業のインテリジェンス情報の偏りをなくそうとするとこういうことになりかねない:

本気でセキュリティ企業のインテリジェンス情報の偏りをなくそうとするとこういうことになりかねない



Labels: ,

【転載】サイバーな方のインテリジェンスをやっているorやろうとしてる人に読んでもらいたい記事のメモ


サイバーな方のインテリジェンスをやっているorやろうとしてる人に読んでもらいたい記事のメモ OPSEC for hackers <- これは実質聖書 slideshare.net/grugq/opsec-fo… Threat Intelligence: My opinion on what it is and isn't linkedin.com/pulse/threat-i…: サイバーな方のインテリジェンスをやっているorやろうとしてる人に読んでもらいたい記事のメモ

OPSEC for hackers <- これは実質聖書

slideshare.net/grugq/opsec-fo…

バックアップ

--

Threat Intelligence: My opinion on what it is and isn't

linkedin.com/pulse/threat-i…

（以下機械翻訳）

脅威インテリジェンスに関しては、多くの組織がそれを行っていると主張しています。この投稿では、脅威インテリジェンスとは何か、脅威インテリジェンスではないものについての私の意見を取り上げます。脅威インテリジェンスではないものから始めましょう：
  • ブランドの監視、または私がクラウド（他の誰かのコンピューター）でのインシデント対応と呼んでいるもの。これは、組織に類似した偽のドメイン、App Storeの偽のアプリ、Playストア、偽のソーシャルメディアプロファイルを探しています。脅威インテリジェンスチームがこれを任務に持っている場合（私の意見では、ブランド保護チームのような別のチームがこれを処理する必要があります）、真の脅威インテリジェンス機能になる時間がない可能性があります。
  • 侵害された資格情報またはクレジットカード。上記のように。
  • 自動ブロックと検出のために、インジケーターまたは侵入の痕跡（IOC）またはシグニチャを環境に取り込む。行うのは良いことですが、脅威インテリジェンスではありません。
それでは、「脅威インテリジェンス」という用語を見て、それを定義しましょう。脅威はマルウェアではありません。脅威はマルウェアを使用している人です。この人または潜在的にグループには、動機、目標、およびTTP（戦術、技術、および手順）があります。脅威インテリジェンスとは、人やグループを追跡/調査することです。

インテリジェンスの定義。インテリジェンスは長い間存在しており、インテリジェンスの収集またはスパイは売春に次いで2番目に古い職業であると言われています。インテリジェンスは、インテリジェンスサイクルと呼ばれるプロセスの出力です。このサイクルは次のとおりです。要件->収集->処理->分析->配布。その後、プロセスは要件段階で再開されます。このプロセスの出力（インテリジェンスの顧客または利害関係者に配布されるもの）はインテリジェンスであり、コンピューターではなく人によって行われます。

要件段階では、ここでインテリジェンスプログラムの優先順位が設定されます。その前に、インテリジェンスの顧客または利害関係者がインテリジェンスチームのメンバーであるかどうかを特定する必要があります。米国政府では、情報消費者の第1位は大統領府です。商用スペースには、CISO /エグゼクティブ（脅威インテリジェンスチームの第1の顧客である必要があります）、セキュリティオペレーションセンター（SOC）、インシデント対応、サードパーティのリスク、脆弱性管理（パッチの優先順位付けを可能にする）など、従来のインテリジェンスの顧客プロファイルが多数あります。 、レッドチーム、ハントと詐欺（銀行の場合）が他にもあります。これは、潜在的なインテリジェンスの顧客/利害関係者のタイプすべてではありませんが、最も一般的なタイプです。インテリジェンスの顧客を特定したら、次に、顧客と協力して、顧客のインテリジェンス要件/ニーズを理解し、優先順位を付ける必要があります。これは難しいプロセスです（ほとんどの人はインテリジェンス機能を使用する方法や優れたインテリジェンスの顧客になる方法を知りません）が、これの最終結果は組織の優先インテリジェンス要件またはPIRです。PIRの開発については、下部にあるリンクを参照してください。

PIRを文書化したら、利害関係者のインテリジェンスのニーズに答えるのに役立つもの/データを観察できる可能性のある場所を確認できます。典型的なソースは、内部テレメトリ（ネットワーク全体で起こっていること、以前のインシデントなど）、オープンソース（Pastebin、ソーシャルメディア、ニュース記事など）、クローズドソース（犯罪者の地下または「ディープアンドダークウェブ」ですが、情熱を持ってその用語は嫌いですが、犯罪者との直接的なオンラインエンゲージメント）、あなたのセクターの他の組織との共有（直接またはISACを介したものなど）など。これは、研究者またはインテリジェンスコレクターがインテリジェンスプロセス内に位置する場所です。

たくさんのコレクションを入手したら、なんとかして処理する必要があります。多くの組織（多くのソースがある）は、脅威インテリジェンスプラットフォーム（TIP）または分析プラットフォームを使用してこれを管理しています。

次に、インテリジェンスサイクルの分析部分があります。これは、人々が収集されたものと、それが何が起こったのか、推定確率のレベル（可能性が高い、可能性が高い、可能性があるなど）を付けて将来起こりそうなことの全体像を形成するのにどのように役立つかを見る場所です。100％事実に基づくものを調べるために分析チームは必要ありません。次に、アナリストはさまざまなタイプのインテリジェンス製品を作成し（オーディエンスに基づいてさまざまなタイプのインテリジェンス製品、つまりCISOはセキュリティオペレーションセンターとは異なるインテリジェンスニーズと配信形式を持ちます）、適切な利害関係者に配布します。その後、フィードバックが受信され、それに基づいて、インテリジェンスサイクルがいくつかの追加要件で再開される可能性があります。

これにより、典型的なサイバー脅威インテリジェンスチーム内で次のような役割が与えられます。
  • インテリジェンスリーダーまたはマネージャー。彼らはプロセスをエンドツーエンドで担当します。関係者と協力してインテルのニーズを理解し、フィードバックを受け取り、チーム/機能を管理するなど。

  • 技術研究者/アナリスト。通常、インテリジェンスサイクルの収集部分に含まれますが、分析部分にも含まれる場合があります。技術的な消費者（SOC、ハント、IRなど）向けに技術データを収集したり、技術に焦点を当てたインテル製品を作成したりします。通常、TIP、統合などの技術ツールの実行/構成にも関与します。

  • 従来の情報アナリスト。通常、インテリジェンスサイクルの分析部分に含まれます。通常、経営幹部向けのインテル製品の作成、戦略的インテルタイプの製品、戦術的でない聴衆へのプレゼンテーションなど、より伝統的なインテリジェンス分析タスクに関与します。伝統的に、政府、法執行機関、諜報機関などでの経験があります。
私たちが書いた他のブログ（Intel 471）は、もっと読みたい人のために書いています。
Labels: ,

【転載】闇サイトで不正操作プログラムを販売　容疑の男を逮捕



闇サイトで不正操作プログラムを販売　容疑の男を逮捕:

【ニュース】

◆闇サイトで不正操作プログラムを販売　容疑の男を逮捕 (朝日新聞, 2020/11/04 19:17)
https://www.asahi.com/articles/ASNC4663DNC4OIPE00K.html?iref=comtop_BreakingNews_list


【関連まとめ記事】

◆全体まとめ

◆闇サイト / ダークウェブ (まとめ)
https://malware-log.hatenablog.com/entry/Dark_Web

ーー

 パソコンに感染して遠隔操作するマルウェア（悪意あるプログラム）を、闇サイトで専用ソフトを使わないと閲覧できないネット空間「ダークウェブ」の掲示板サイトで購入者を募り、販売したとして、愛知県警は4日、自称フリーカメラマンの沢田海成容疑者（21）=千葉県白井市=を不正指令電磁的記録保管・提供などの疑いで逮捕し、発表した。容疑を認めているという。


　サイバー犯罪対策課によると、沢田容疑者は6月3日～8月13日、マルウェアの一つ「DarkComet（ダークコメット）」の圧縮ファイルを、自らが所有する外付けのハードディスクに保存したほか、6月3日にはこの圧縮ファイルの購入を希望した男性に販売した疑いがある。


　ダークコメットは、感染したパソコンを不正に操作し、データ閲覧や改ざん、外部への送信、カメラの起動などを行う。同課によると、沢田容疑者は何らかの方法でファイルを入手したとみられ、マルウェアを1ファイル3万円で販売するという趣旨を掲示板に書き込んでいたという。


　この書き込みを県警の捜査員が5月中旬に発見。沢田容疑者は、同じ掲示板に違法薬物や架空口座の販売をほのめかす書き込みもしていたといい、県警はマルウェア以外にも5～7月に少なくとも90万円を売り上げていたとみている。

Labels: ,

【転載】IPAが「ソフトウェア脆弱性関連情報管理シート」を公開。社内で利用しているソフトウェアの情報と公表された脆弱性情報を一元管理するためのツールで、「どのレベルの脆弱性ならいつまでに対策する」といった社内ルールを決め、対策を実施するのにお役立ていただけます。

EjUy10CVgAA7vfz.jpg:large
さとっぺ retweeted: 「ソフトウェア脆弱性関連情報管理シート」を公開しました。社内で利用しているソフトウェアの情報と公表された脆弱性情報を一元管理するためのツールで、「どのレベルの脆弱性ならいつまでに対策する」といった社内ルールを決め、対策を実施するのにお役立ていただけます。 ipa.go.jp/security/techn…:

さとっぺ retweeted:

「ソフトウェア脆弱性関連情報管理シート」を公開しました。社内で利用しているソフトウェアの情報と公表された脆弱性情報を一元管理するためのツールで、「どのレベルの脆弱性ならいつまでに対策する」といった社内ルールを決め、対策を実施するのにお役立ていただけます。

ipa.go.jp/security/techn…

EjUy10CVgAA7vfz.jpg:largeEjUy3fpU4AEfnoh.jpg:large



バックアップ

Labels: , ,
登録: 投稿 (Atom)