・難読化されたファイルまたは情報 の変更点

• 追加された行はこの色です。
• 削除された行はこの色です。
• ・難読化されたファイルまたは情報 へ行く。
• ・難読化されたファイルまたは情報 の差分を削除

#author("2020-11-06T13:29:07+09:00","","")
#author("2020-11-07T15:25:31+09:00","","")
[[情報システム開発契約のセキュリティ仕様作成のためのガイドライン]]~
[[MITRE ATT＆CKに基づく詳細設定対策]]

*戦術：防衛回避 [#id6fb4ea]
-MITRE ATT&CK
--[[T1027 Obfuscated Files or Information>https://attack.mitre.org/techniques/T1027/]]


*概説 [#l4eea049]
攻撃者は悪意あるプログラムを隠ぺいするため、難読化や暗号化を行うことがあります。難読化はスクリプトなどの命令文を無意味な変数に置き換えたり、16進数に変換するなどして、どのような機能かの分析を困難にさせ、かつ、アンチウイルスの解析を免れることを目的としています。ただし、正規の正常な製品でも、リバースエンジニアリングを避けるために、難読化を実施することがあるため、難読化＝悪意とは限りません。~
Windows では外部からマルウェアをダウンロードする際に、[[難読化させたPowerShell スクリプトを使用する>https://www.cyberfortress.jp/2020/03/25/blog-powershell-obfuscation/]]ことが知られています。

*緩和の方針 [#o6dbc1bd]
Windows 10で実装されたマルウェア対策スキャンインターフェイス（AMSI）に対応したアンチウイルスソフトの採用もしくは同等機能を有するアンチウイルスソフトの採用を検討します。~
侵入検知システム、Endpoint Detection and Responseの導入を検討します。

*運用やNetworkが変更された場合の影響の有無 [#ba4cfdf4]
該当しません。

*優先すべき措置 [#fa037286]
侵入検知システム、Endpoint Detection and Responseの導入を検討します。
AMSI に対応したアンチウイルスソフトの導入を検討します。
AMSI対応のアンチウイルスソフトは以下の難読化されたスクリプトの攻撃コードを検出します。
-PowerShell（スクリプト、インタラクティブな使用、および動的なコード評価）
-Windows Script Host（wscript.exeおよびcscript.exe）
-JavaScriptとVBScript
-OfficeVBAマクロ

但し、AMSI 機能を改ざんすることで AMSI 機能をバイパスする実証実験が報告 されています。F-Secure Hunting for AMSI bypasses: https://blog.f-secure.com/hunting-for-amsi-bypasses/~
Bypass AMSI by manual modification: https://s3cur3th1ssh1t.github.io/Bypass_AMSI_by_manual_modification/

*ユーザー運用管理責任 [#y25688d7]
**リスクの受容 [#i5b17c35]
難読化はPowerShellスクリプトに限ったものではありませんが、多くはPowerShell に施されるため、「18章・PowerShellの悪用」のリスク受容を援用します。
|180|||c
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:業務|COLOR(WHITE):BGCOLOR(#44546A):CENTER:特権|COLOR(WHITE):BGCOLOR(#44546A):CENTER:リスク受容のための条件例|h
|プログラム開発担当者|Local Administrator|PowerShell スクリプト開発環境の分離（リリース後は署名する）、AllSigned適用、侵入監視・Endpoint Detection and Response・AMSI対応アンチウイルスソフトの導入、PowerShell スクリプトログ監査、定期的なトレーニング|
|Help Desk 担当者|Domain/Local Administrator|~|
|システム管理者|Enterprise/Domain/Local Administrator|~|
|部門管理者（OUの委任）|OUのパスワードリセット、グループ管理、ドメイン参加等|~|
|役職者、研究者、秘書|標準ユーザー|PowerShellの実行ポリシーをRestricted適用、Local Administrators に含めない|
|上記以外の一般業務担当者|標準ユーザー|PowerShellの実行ポリシーをRestricted適用、Local Administrators に含めない|

**啓発・教育 [#bf320873]
-対象：すべての端末利用者
--アンチウイルスソフトの更新方法、更新の確認方法を理解させます。
--万一、動作していない、更新されていない、記憶にない設定変更がなされていた場合は、インシデントのおそれがあることから、報告させるようにします。

**利用規定 [#e5f80f5a]
**管理規程 [#e5f80f5a]
以下の規程の整備を検討します。
-アンチウイルスの運用規定の文書化、監査。


*情報システム設計開発部門・運用部門（ベンダー代行を含む) [#qe5ba892]
**ポリシー [#m7b70d0c]
[[・PowerShellの悪用]] を参照してください。

**モニタリング [#w55e18da]
[[・PowerShellの悪用]] を参照してください。

**ネットワークデザイン、アクセスコントロール、フィルタリング  [#p33fcd30]
該当しません。


**仮想端末運用 [#a8810a5e]
これは将来のためのプレースフォルダーです。

**エンドポイント対策 [#o86dec77]
AMSI対応アンチウイルスソフト、侵入検知システム、Endpoint Detection and Responseの導入を検討します。


*受託開発ベンダー管理責任 [#f9223aef]
**セキュアコーディング [#z80503fb]
該当しません。
**開発環境管理 [#q55a6742]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。
**サプライチェーン正常性維持" [#j1f3010e]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。