前回の分析センターだより では、イベントログの分析をサポートするツール「LogonTracer」のコンセプトや使用方法について説明しました。今回は、LogonTracerを使って実際に不正ログオンを特定する方法について紹介します。
LogonTracerのインストール方法についてはWikiページをご覧ください。
LogonTracerはあくまで分析をサポートするツールであり、不正ログオンを検出するわけではありません。そのため本ツールを使用して分析するには、調査のポイントをある程度把握しておく必要があります。以下に、Active Directoryドメインコントローラーのイベントログから不正ログオンを分析する際のポイントをいくつか上げました。
以降では、LogonTracerを使用して上記の調査を行う方法について説明します。なお、今回紹介する調査方法には、LogonTracerのバージョン1.0.3を使用しています。
標的型攻撃のインシデントでは、マルウエア感染した1台のホストから多数のホストやサーバに感染が広がる事例が多いことが分かっています。そのため、ネットワーク内にマルウエア感染したホストが見つかった場合、どのアカウントが悪用されたのか、他のホストに感染が広がっていないか確認することが必要です。
攻撃者は、ネットワーク内で感染を広げる際、盗み出したアカウント情報を使いまわして様々なホストにログオンする傾向があります。そのため、まず初めに不正ログオンに使用されたアカウントを特定することが重要です。マルウエア感染したホストにログオンしているアカウントを調べて、そのアカウントが感染ホスト上で通常使用されているアカウントなのか調査することで不正ログオンに使用されたアカウントが分かる可能性があります。
不正ログオンに使用されたアカウントを特定できると、そのアカウントが別のホストでログオンされていないかを調べることで、どのホストに感染拡大が行われたのかを確認することができます。
なお、検索するアカウント名およびホスト名・IPアドレスには正規表現を使用することができます。
LogonTracerでは左のサイドバーから管理者アカウントを検索することができます(図2の「SYSTEM privileges」)。通常、管理者アカウントでログオンしないホストが管理者アカウントを使用している場合は、不正ログオンである可能性があります。
攻撃者はネットワーク内部での感染拡大の手段の1つとしてパスワード辞書を使用した総当りログオン攻撃を行う場合があります。このような場合、短時間に多数のログオンの失敗ログが記録されます。
最後に各ホストが使用しているアカウントの妥当性を調査する方法について説明します。この調査は、1ホストでログオンするアカウントが1つに限定する運用が行われている組織でとくに有効です。
インシデント調査の観点から「1ホスト=1アカウント運用」をお勧めします。
LogonTracerは今後も継続的にアップデートを行う予定です。現在はログオンに関連するイベントログのみを分析対象としていますが、ポリシー変更やユーザ作成・グループ追加、イベントログの削除などログオン関連以外の重要度の高いものも分析対象に含めることを計画しています。本ツールに関してリクエストなどがありましたらご連絡ください。