システムログツール Sysmon のバイパス・回避・改ざん手法と対策 | ScanNetSecurity
2020.07.05(日)

システムログツール Sysmon のバイパス・回避・改ざん手法と対策

直訳すれば「Sysmon破り:公式セキュリティアプリケーションの回避方法」といったところだ。

研修・セミナー・カンファレンス セミナー・イベント
 Sysmon といえば、多くのセキュリティ専門家、アナリストにとって欠かせないソフトウェアのひとつではないだろうか。Windows系 OS において、システム機動時からシャットダウンまで、さまざまなイベントをログに落としてくれる。システムアプリケーションとしてデバイスドライバレベルで動作するため、かなりプリミティブな処理もログに残すことができる。

 今夏開催の Blackha USA 2018 の Briefings に「Subverting Sysmon: Application of Formalized Security Product Evasion Methodology」というセッションがあった。直訳すれば「Sysmon破り:公式セキュリティアプリケーションの回避方法」といったところだ。

 発表したのは、Matt Graeber 氏と Lee Christensen 氏。ともに SpecterOps というセキュリティ企業の研究者。Graeber 氏は、罰ゲームのコスプレのようなとぼけた恰好で登壇していたが、これは筋ジストロフィー協会の募金が目標に達した際の約束を実行したとのことだ。Christensen 氏は同社のレッドチーム担当でありスレットハンターでもある。

 Sysmon を選んだのは、それが広く利用されており、自分達の顧客も利用しているからだという。また Sysmon に依存しているベンダも存在するので、対策を促す目的もある。決して Sysmon を貶めたり排除しようというような意図はないことを念押ししていた。

《中尾 真二( Shinji Nakao )》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×