- 追加された行はこの色です。
- 削除された行はこの色です。
#author("2019-11-18T14:52:04+09:00","","")
[[IPAセキュリティPT評価版]]
*・難読化されたファイルまたは情報 [#hc7d6663]
**戦術 [#id6fb4ea]
防衛回避
#freeze
#author("2020-11-07T15:25:31+09:00","","")
[[情報システム開発契約のセキュリティ仕様作成のためのガイドライン]]~
[[MITRE ATT＆CKに基づく詳細設定対策]]
**対象OS [#sa3061cc]
-Windows
*戦術：防衛回避 [#id6fb4ea]
-MITRE ATT&CK
--[[T1027 Obfuscated Files or Information>https://attack.mitre.org/techniques/T1027/]]
**必要なアクセス許可 [#o4a9d7e7]
Administrator
SYSTEM
**概説 [#l4eea049]
攻撃者はファイルやデータに悪意あるプログラムを隠ぺいするため、難読化や暗号化を行うことがあります。難読化とはスクリプトなどの命令文を無意味な変数に置き換えたり、16進数に変換するなどして、どのような機能かの分析を困難にさせ、かつ、アンチウイルスの解析を免れることを目的としています。~
*概説 [#l4eea049]
攻撃者は悪意あるプログラムを隠ぺいするため、難読化や暗号化を行うことがあります。難読化はスクリプトなどの命令文を無意味な変数に置き換えたり、16進数に変換するなどして、どのような機能かの分析を困難にさせ、かつ、アンチウイルスの解析を免れることを目的としています。ただし、正規の正常な製品でも、リバースエンジニアリングを避けるために、難読化を実施することがあるため、難読化＝悪意とは限りません。~
Windows では外部からマルウェアをダウンロードする際に、[[難読化させたPowerShell スクリプトを使用する>https://www.cyberfortress.jp/2020/03/25/blog-powershell-obfuscation/]]ことが知られています。
*緩和の方針 [#o6dbc1bd]
Windows 10で実装されたマルウェア対策スキャンインターフェイス（AMSI）に対応したアンチウイルスソフトの採用もしくは同等機能を有するアンチウイルスソフトの採用を検討します。~
侵入検知システム、Endpoint Detection and Responseの導入を検討します。
**緩和の方針 [#o6dbc1bd]
Windows 10で実装されたマルウェア対策スキャンインターフェイス（AMSI）を利用し、スクリプトの振る舞いをアンチウイルスで評価します。AMSIに対応したアンチウイルスソフトが必要です。
*運用やNetworkが変更された場合の影響の有無 [#ba4cfdf4]
該当しません。
**運用やNetworkが変更された場合の影響の有無 [#ba4cfdf4]
AMSIに対応していないアンチウイルスソフトでは、緩和できない場合があります。
*優先すべき措置 [#fa037286]
侵入検知システム、Endpoint Detection and Responseの導入を検討します。
AMSI に対応したアンチウイルスソフトの導入を検討します。
AMSI対応のアンチウイルスソフトは以下の難読化されたスクリプトの攻撃コードを検出します。
-PowerShell（スクリプト、インタラクティブな使用、および動的なコード評価）
-Windows Script Host（wscript.exeおよびcscript.exe）
-JavaScriptとVBScript
-OfficeVBAマクロ
**優先すべき措置 [#fa037286]
AMSIに対応したアンチウイルスソフトを導入します。
但し、AMSI 機能を改ざんすることで AMSI 機能をバイパスする実証実験が報告 されています。F-Secure Hunting for AMSI bypasses: https://blog.f-secure.com/hunting-for-amsi-bypasses/~
Bypass AMSI by manual modification: https://s3cur3th1ssh1t.github.io/Bypass_AMSI_by_manual_modification/
**ユーザー運用管理責任 [#y25688d7]
***リスクの受容 [#i5b17c35]
AMSIに対応していないアンチウイルスソフトを導入した場合、このリスクを受容します。
*ユーザー運用管理責任 [#y25688d7]
**リスクの受容 [#i5b17c35]
難読化はPowerShellスクリプトに限ったものではありませんが、多くはPowerShell に施されるため、「18章・PowerShellの悪用」のリスク受容を援用します。
|180|||c
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:業務|COLOR(WHITE):BGCOLOR(#44546A):CENTER:特権|COLOR(WHITE):BGCOLOR(#44546A):CENTER:リスク受容のための条件例|h
|プログラム開発担当者|Local Administrator|PowerShell スクリプト開発環境の分離（リリース後は署名する）、AllSigned適用、侵入監視・Endpoint Detection and Response・AMSI対応アンチウイルスソフトの導入、PowerShell スクリプトログ監査、定期的なトレーニング|
|Help Desk 担当者|Domain/Local Administrator|~|
|システム管理者|Enterprise/Domain/Local Administrator|~|
|部門管理者（OUの委任）|OUのパスワードリセット、グループ管理、ドメイン参加等|~|
|役職者、研究者、秘書|標準ユーザー|PowerShellの実行ポリシーをRestricted適用、Local Administrators に含めない|
|上記以外の一般業務担当者|標準ユーザー|PowerShellの実行ポリシーをRestricted適用、Local Administrators に含めない|
***啓発・教育 [#bf320873]
アンチウイルスソフトのAMSI設定を教育します。万一、設定が変更されていた場合は「動作」するように修正する手順を理解させます。
**啓発・教育 [#bf320873]
-対象：すべての端末利用者
--アンチウイルスソフトの更新方法、更新の確認方法を理解させます。
--万一、動作していない、更新されていない、記憶にない設定変更がなされていた場合は、インシデントのおそれがあることから、報告させるようにします。
***利用規定 [#e5f80f5a]
アンチウイルスの運用規定の文書化、監査。
**管理規程 [#e5f80f5a]
以下の規程の整備を検討します。
-アンチウイルスの運用規定の文書化、監査。
**情報システム設計開発部門・運用部門（ベンダー代行を含む) [#qe5ba892]
***NWデザイン [#p33fcd30]
該当なし。
*情報システム設計開発部門・運用部門（ベンダー代行を含む) [#qe5ba892]
**ポリシー [#m7b70d0c]
[[・PowerShellの悪用]] を参照してください。
**モニタリング [#w55e18da]
[[・PowerShellの悪用]] を参照してください。
***アクセスコントロール [#vb384614]
該当なし。
***フィルタリング [#r57960b4]
UTM（悪意あるサイト、コンテンツのブロック）、侵入検知システムの導入。
**ネットワークデザイン、アクセスコントロール、フィルタリング [#p33fcd30]
該当しません。
***ロール運用 [#zed23527]
該当なし。
***仮想端末運用 [#a8810a5e]
該当なし。
**仮想端末運用 [#a8810a5e]
これは将来のためのプレースフォルダーです。
***エンドポイント対策 [#o86dec77]
アンチウイルス、Endpoint Detection and Responseの導入。
**エンドポイント対策 [#o86dec77]
AMSI対応アンチウイルスソフト、侵入検知システム、Endpoint Detection and Responseの導入を検討します。
**受託開発ベンダー管理責任 [#f9223aef]
***セキュアコーディング [#z80503fb]
該当なし。
***開発環境管理 [#q55a6742]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
***サプライチェーン正常性維持" [#j1f3010e]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
*受託開発ベンダー管理責任 [#f9223aef]
**セキュアコーディング [#z80503fb]
該当しません。
**開発環境管理 [#q55a6742]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。
**サプライチェーン正常性維持" [#j1f3010e]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。
&br;
&br;
----
#article
