Sysmonを用いたmimikatzの悪用の検知

• Item type: Symposium(1)
• 公開日: 2017-10-16
• タイトル: Sysmonを用いたmimikatzの悪用の検知
• タイトル / 言語: en
• タイトル: Detecting Mimikatz by Sysmon
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: mimikatz，Sysmon，標的型攻撃，横展開，Elasticsearch
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 東京大学情報学環セキュア情報化社会研究グループ
• 著者所属: 東京大学情報学環セキュア情報化社会研究グループ
• 著者所属: 東京大学情報学環セキュア情報化社会研究グループ
• 著者所属(英): en
• 著者所属(英): The University of Tokyo, Secure information society research group
• 著者所属(英): en
• 著者所属(英): The University of Tokyo, Secure information society research group
• 著者所属(英): en
• 著者所属(英): The University of Tokyo, Secure information society research group
• 著者名: 松田, 亘; 藤本, 万里子; 満永, 拓邦
• 著者名(英): Wataru, Matsuda; Mariko, Fujimoto; Takuho, Mitsunaga
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 標的型攻撃において，組織に侵入した攻撃者はmimikatzという攻撃ツールを使って組織内で横展開を試みることが多い．mimikatzを使う攻撃では，正規ユーザか攻撃者によるアクセスかを判別するのが難しいという問題がある．そこで，Sysmonを使用して，コンピュータ上でmimikatzがロードしたDLLを検知する研究が行われているが，特定のWindowsやmimikatzのバージョンのみを対象としているため，実環境では誤検知が発生する可能性がある．本研究では，WindowsやmimikatzのバージョンによってロードされるDLLの違いを網羅的に検証し，誤検知を軽減する手法について調査する．また，分析エンジンであるElasticsearchを用いてログを分析し，効率的に検知する方法についても述べる．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: In targeted attacks, attackers who have intruded into an office network often use a tool called "mimikatz" to steal credentials in order to attempt to perform lateral movement. It is difficult to judge whether an access is made by a legitimate user or an attacker when mimikatz used. As a breakthrough, some methods have been proposed which detect DLLs loaded by mimikatz using Sysmon. However, false detection can be caused because they are tested on the specific Windows and mimikatz versions. This presentation proposes methods to reduce false detection rate by investigating difference among Windows and mimikatz versions. Furthermore, a technique using Elasticsearch (an analysis engine) to effectively detect compromised machines will be introduced.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2017論文集; 巻 2017, 号 2, 発行日 2017-10-16
• 出版者 / 言語: ja
• 出版者: 情報処理学会