├── README.md
├── css
    ├── bootstrap.min.css
    ├── bootstrap.min.js
    └── dashboard.css
├── details
    ├── AceHash.htm
    ├── BITS.htm
    ├── BeginX.htm
    ├── FakeWpad.htm
    ├── Find-GPOPasswords.htm
    ├── Htran.htm
    ├── MS14-058.htm
    ├── MS14-068.htm
    ├── MS15-078.htm
    ├── Mimikatz_GoldenTicket.htm
    ├── Mimikatz_SilverTicket.htm
    ├── Mimikatz_lsadump-sam.htm
    ├── Mimikatz_sekurlsa-logonpasswords.htm
    ├── Mimikatz_sekurlsa-tickets.htm
    ├── PWDumpX.htm
    ├── PowerMemory.htm
    ├── PowerSploit_GetGPPPassword.htm
    ├── PowerSploit_Invoke-Mimikatz.htm
    ├── PowerSploit_Out-Minidump.htm
    ├── PsExec.htm
    ├── PwDump7.htm
    ├── QuarksPWDump.htm
    ├── RemoteLogin-Mimikatz.htm
    ├── RemoteLogin-WCE.htm
    ├── SDB-UAC-Bypass.htm
    ├── WCE.htm
    ├── WebBrowserPassView.htm
    ├── WinRM.htm
    ├── WinRS.htm
    ├── common
    │   ├── script.js
    │   └── style.css
    ├── csvde.htm
    ├── dcdiag.htm
    ├── dsquery.htm
    ├── gsecdump.htm
    ├── klist-purge.htm
    ├── ldifde.htm
    ├── lslsass.htm
    ├── mstsc.htm
    ├── net-use.htm
    ├── net-user.htm
    ├── nltest.htm
    ├── nmap.htm
    ├── ntdsutil.htm
    ├── schtasks.htm
    ├── sdelete.htm
    ├── timestomp.htm
    ├── vssadmin.htm
    ├── wevtutil.htm
    ├── wmic.htm
    └── wmiexec-vbs.htm
├── index.html
├── js
    ├── bootstrap.min.js
    └── jquery.min.js
├── overview.html
└── tool-list.html


/README.md:
--------------------------------------------------------------------------------
 1 | # ツール分析結果シート
 2 |   このレポジトリは、攻撃者がネットワーク内に侵入後に利用する可能性が高いツール、コマンドを調査し、それらを実行した際にどのような痕跡がWindows OS上に残るのかを検証した結果の詳細をまとめています。  
 3 |   ツール分析結果シートはHTMLで作成されており、以下のURLから確認することが可能です。  
 4 | 
 5 |   https://jpcertcc.github.io/ToolAnalysisResultSheet_jp/
 6 | 
 7 |   また本調査の概要、使用方法などをまとめた報告書を、以下で公開しています。  
 8 | 
 9 |   [インシデント調査のための攻撃ツール等の実行痕跡調査に関する報告書 （第2版）](https://www.jpcert.or.jp/research/ir_research.html)
10 | 
11 |   ツール分析結果シートを使用する際は、一度報告書をご確認いただくことをお勧めします。  
12 | 


--------------------------------------------------------------------------------
/css/dashboard.css:
--------------------------------------------------------------------------------
 1 | /*
 2 |  * Base structure
 3 |  */
 4 | 
 5 | /* Move down content because we have a fixed navbar that is 50px tall */
 6 | body {
 7 |   padding-top: 50px;
 8 | }
 9 | 
10 | /*
11 |  * Typography
12 |  */
13 | 
14 | h1 {
15 |   margin-bottom: 20px;
16 |   padding-bottom: 9px;
17 |   border-bottom: 1px solid #eee;
18 | }
19 | 
20 | /*
21 |  * Sidebar
22 |  */
23 | 
24 | .sidebar {
25 |   position: fixed;
26 |   top: 51px;
27 |   bottom: 0;
28 |   left: 0;
29 |   z-index: 1000;
30 |   padding: 10px;
31 |   overflow-x: hidden;
32 |   overflow-y: auto; /* Scrollable contents if viewport is shorter than content. */
33 |   border-right: 1px solid #eee;
34 |   background-color: #c0c0c0;
35 | }
36 | 
37 | /* Sidebar navigation */
38 | .sidebar {
39 |   padding-left: 0;
40 |   padding-right: 0;
41 | }
42 | 
43 | .sidebar .nav {
44 |   margin-bottom: 10px;
45 |   font-weight: bold;
46 |   color: #fffafa;
47 | }
48 | 
49 | .sidebar .nav-item {
50 |   width: 100%;
51 |   padding: 0px 0px 0px 10px;
52 |   font-weight: normal;
53 | }
54 | 
55 | .sidebar .nav-item + .nav-item {
56 |   margin-left: 0;
57 | }
58 | 
59 | .sidebar .nav-link {
60 |   border-radius: 0;
61 | }
62 | 
63 | /*
64 |  * Dashboard
65 |  */
66 | 
67 |  /* Placeholders */
68 | .placeholders {
69 |   padding-bottom: 3rem;
70 | }
71 | 
72 | .placeholder img {
73 |   padding-top: 1.5rem;
74 |   padding-bottom: 1.5rem;
75 | }
76 | 


--------------------------------------------------------------------------------
/details/MS14-058.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>MS14-058 Exploit</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">MS14-058 Exploit</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#HostDetails">詳細：ホスト</a></li>
 20 |           </ul>
 21 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 22 |           <hr class="section_divider" />
 23 |         </div>
 24 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 25 |         <div class="section" id="div-Summary">
 26 |           <dl class="table">
 27 |             <dt class="table">カテゴリ</dt>
 28 |               <dd class="table">権限昇格</dd>
 29 |             <dt class="table">説明</dt>
 30 |               <dd class="table">指定した実行ファイルを、SYSTEM権限で実行する。</dd>
 31 |             <dt class="table">攻撃時における想定利用例</dt>
 32 |               <dd class="table">管理者権限が必要な実行ファイルを、標準ユーザーで実行する。</dd>
 33 |           </dl>
 34 |         </div>
 35 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 36 |         <div class="section" id="div-ExecCondition">
 37 |           <table class="border">
 38 |             <thead>
 39 |               <tr class="border">
 40 |                 <th class="border_header">項目</th>
 41 |                 <th class="border_header">内容</th>
 42 |               </tr>
 43 |             </thead>
 44 |             <tbody>
 45 |               <tr class="border">
 46 |                 <td class="border_header">ドメインへの所属</td>
 47 |                 <td class="border">不要</td>
 48 |               </tr>
 49 |               <tr class="border">
 50 |                 <td class="border_header">OS</td>
 51 |                 <td class="border">Windows 7</td>
 52 |               </tr>
 53 |               <tr class="border">
 54 |                 <td class="border_header">権限</td>
 55 |                 <td class="border">標準ユーザー</td>
 56 |               </tr>
 57 |             </tbody>
 58 |           </table>
 59 |         </div>
 60 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 61 |         <div class="section" id="div-Findings">
 62 |           <dl class="table">
 63 |             <dt class="table">標準設定</dt>
 64 |               <dd class="table"><ul>
 65 |                 <li>ホスト<ul>
 66 |                   <li>実行履歴 (Prefetch)</li>
 67 |                   </ul></li>
 68 |                 </ul></dd>
 69 |             <dt class="table">追加設定</dt>
 70 |               <dd class="table"><ul>
 71 |                 <li>ホスト<ul>
 72 |                   <li>実行履歴 (監査ポリシー, Sysmon)</li>
 73 |                   </ul></li>
 74 |                 </ul></dd>
 75 |           </dl>
 76 |         </div>
 77 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 78 |         <div class="section" id="div-SuccessCondition">
 79 |           <ul>
 80 |             <li>イベントログ「セキュリティ」のイベントID: 4688および、イベントログ「Sysmon」のイベントID: 1においてSYSTEM権限で実行されているプロセスの、親プロセスがそのプロセスの親となり得ないものとなっている</li>
 81 |           </ul>
 82 |         </div>
 83 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 84 |         <div class="section" id="div-KeyEvents">
 85 |           <h3 class="subsection"><a href="#KeyEvents-Host" class="collapse" id="a-KeyEvents-Host" onclick="showhide('KeyEvents-Host');">-</a> <a name="KeyEvents-Host">ホスト</a></h3>
 86 |             <div class="section" id="div-KeyEvents-Host">
 87 |               <h4>イベントログ</h4>
 88 |                 <table class="border">
 89 |                   <thead>
 90 |                     <tr class="border">
 91 |                       <th class="border_header">#</th>
 92 |                       <th class="border_header">ログ</th>
 93 |                       <th class="border_header">イベントID</th>
 94 |                       <th class="border_header">タスクのカテゴリ</th>
 95 |                       <th class="border_header">イベント内容</th>
 96 |                     </tr>
 97 |                   </thead>
 98 |                   <tbody>
 99 |                     <tr class="border">
100 |                       <td class="border">1</td>
101 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
102 |                       <td class="border">1</td>
103 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
104 |                       <td class="border">Process Create.<ul>
105 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
106 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
107 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル)</li>
108 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン ([検体の実行ファイル] [権限を昇格して実行する実行ファイル])</li>
109 |                         <li><span class="strong">User</span>: 実行ユーザー (検体を実行した非特権ユーザー)</li>
110 |                         </ul></td>
111 |                     </tr>
112 |                     <tr class="border">
113 |                       <td class="border">2</td>
114 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
115 |                       <td class="border">1</td>
116 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
117 |                       <td class="border">Process Create.<ul>
118 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
119 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
120 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (直前のSysmon イベントID: 1のコマンドラインで指定された、「権限を昇格して実行する実行ファイル」の実行ファイル部)</li>
121 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (直前のSysmon イベントID: 1のコマンドラインで指定された、「権限を昇格して実行する実行ファイル」部)</li>
122 |                         <li><span class="strong">User</span>: 実行ユーザー (NY AUTHORITY\SYSTEM)</li>
123 |                         <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値 (直前のSysmon イベントID: 1のコマンドラインで指定された、「権限を昇格して実行する実行ファイル」の実行ファイルのハッシュ)</li>
124 |                         <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID (直前のSysmon イベントID: 1で実行された検体のプロセスID)</li>
125 |                         <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル (直前のSysmon イベントID: 1で実行された検体)</li>
126 |                         <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン (直前のSysmon イベントID: 1におけるCommandLine)</li>
127 |                         </ul></td>
128 |                     </tr>
129 |                     <tr class="border">
130 |                       <td class="border">3</td>
131 |                       <td class="border">セキュリティ</td>
132 |                       <td class="border">4689</td>
133 |                       <td class="border">プロセス終了</td>
134 |                       <td class="border">プロセスが終了しました。<ul>
135 |                         <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
136 |                         <li><span class="strong">サブジェクト > セキュリティID</span>: 実行したユーザーSID (SYSTEM)</li>
137 |                         <li><span class="strong">サブジェクト > アカウント名</span>: 実行したアカウント名 (ホスト名$)</li>
138 |                         <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
139 |                         <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体の実行ファイル)</li>
140 |                         </ul></td>
141 |                     </tr>
142 |                   </tbody>
143 |                 </table>
144 |               <h4>MFT</h4>
145 |                 <table class="border">
146 |                   <thead>
147 |                     <tr class="border">
148 |                       <th class="border_header">#</th>
149 |                       <th class="border_header">パス</th>
150 |                       <th class="border_header">ヘッダフラグ</th>
151 |                       <th class="border_header">有効</th>
152 |                     </tr>
153 |                   </thead>
154 |                   <tbody>
155 |                     <tr class="border">
156 |                       <td class="border">1</td>
157 |                       <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル]-[文字列].pf</td>
158 |                       <td class="border">FILE</td>
159 |                       <td class="border">ALLOCATED</td>
160 |                     </tr>
161 |                   </tbody>
162 |                 </table>
163 |               <h4>Prefetch</h4>
164 |                 <ul>
165 |                   <li>C:\Windows\Prefetch\[検体の実行ファイル]-[文字列].pf</li>
166 |                 </ul>
167 |               <h4>USNジャーナル</h4>
168 |                 <table class="border">
169 |                   <thead>
170 |                     <tr class="border">
171 |                       <th class="border_header">#</th>
172 |                       <th class="border_header">ファイル名</th>
173 |                       <th class="border_header">処理</th>
174 |                     </tr>
175 |                   </thead>
176 |                   <tbody>
177 |                     <tr class="border">
178 |                       <td class="border">1</td>
179 |                       <td class="border">[検体の実行ファイル]-[文字列].pf</td>
180 |                       <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
181 |                     </tr>
182 |                   </tbody>
183 |                 </table>
184 |             </div>
185 |         </div>
186 |         <hr class="section_divider">
187 |       <h2 class="section"><a href="#HostDetails" class="collapse" id="a-HostDetails" onclick="showhide('HostDetails');">-</a> <a name="HostDetails">詳細：ホスト</a></h2>
188 |         <div class="section" id="div-HostDetails">
189 |           <h3 class="subsection"><a href="#HostDetails-EventLogs" class="collapse" id="a-HostDetails-EventLogs" onclick="showhide('HostDetails-EventLogs');">-</a> <a name="HostDetails-EventLogs">イベントログ</a></h3>
190 |             <div class="section" id="div-HostDetails-EventLogs">
191 |               <table class="border">
192 |                 <thead>
193 |                   <tr class="border">
194 |                     <th class="border_header">#</th>
195 |                     <th class="border_header">イベントログ</th>
196 |                     <th class="border_header">イベントID</th>
197 |                     <th class="border_header">タスクのカテゴリ</th>
198 |                     <th class="border_header">イベント内容</th>
199 |                   </tr>
200 |                 </thead>
201 |                 <tbody>
202 |                   <tr class="border">
203 |                     <td class="border" rowspan="2">1</td>
204 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
205 |                     <td class="border">1</td>
206 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
207 |                     <td class="border">Process Create.<ul>
208 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
209 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
210 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル)</li>
211 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン ([検体の実行ファイル] [権限を昇格して実行する実行ファイル])</li>
212 |                       <li><span class="strong">User</span>: 実行ユーザー (検体を実行した非特権ユーザー)</li>
213 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
214 |                       <li><span class="strong">IntegrityLevel</span>: 特権レベル (Medium)</li>
215 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
216 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
217 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
218 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
219 |                       </ul></td>
220 |                   </tr>
221 |                   <tr class="border">
222 |                     <!-- rowspan -->
223 |                     <td class="border">セキュリティ</td>
224 |                     <td class="border">4688</td>
225 |                     <td class="border">プロセス作成</td>
226 |                     <td class="border">新しいプロセスが作成されました。<ul>
227 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン (検体を実行した非特権ユーザー)</li>
228 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
229 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
230 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
231 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体の実行ファイル)</li>
232 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
233 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
234 |                       </ul></td>
235 |                   </tr>
236 |                   <tr class="border">
237 |                     <td class="border" rowspan="2">2</td>
238 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
239 |                     <td class="border">1</td>
240 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
241 |                     <td class="border">Process Create.<ul>
242 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
243 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
244 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (直前のSysmon イベントID: 1のコマンドラインで指定された、「権限を昇格して実行する実行ファイル」の実行ファイル部)</li>
245 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (直前のSysmon イベントID: 1のコマンドラインで指定された、「権限を昇格して実行する実行ファイル」部)</li>
246 |                       <li><span class="strong">CurrentDirectory</span>: 作業ディレクトリ (検体のパス)</li>
247 |                       <li><span class="strong">User</span>: 実行ユーザー (NY AUTHORITY\SYSTEM)</li>
248 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
249 |                       <li><span class="strong">IntegrityLevel</span>: 特権レベル (System)</li>
250 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値 (直前のSysmon イベントID: 1のコマンドラインで指定された、「権限を昇格して実行する実行ファイル」の実行ファイルのハッシュ)</li>
251 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID (直前のSysmon イベントID: 1で実行された検体のプロセスID)</li>
252 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル (直前のSysmon イベントID: 1で実行された検体)</li>
253 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン (直前のSysmon イベントID: 1におけるCommandLine)</li>
254 |                       </ul></td>
255 |                   </tr>
256 |                   <tr class="border">
257 |                     <!-- rowspan -->
258 |                     <td class="border">セキュリティ</td>
259 |                     <td class="border">4688</td>
260 |                     <td class="border">プロセス作成</td>
261 |                     <td class="border">新しいプロセスが作成されました。<ul>
262 |                       <li><span class="strong">サブジェクト > セキュリティID</span>: 実行したユーザーSID (SYSTEM)</li>
263 |                       <li><span class="strong">サブジェクト > アカウント名</span>: 実行したアカウント名 (ホスト名$)</li>
264 |                       <li><span class="strong">サブジェクト > アカウント ドメイン</span>: 実行したアカウントの所属ドメイン (ホストの所属するドメイン)</li>
265 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
266 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
267 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
268 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体の実行ファイル)</li>
269 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」 (直前のイベントID: 4688における「新しいプロセスID」)</li>
270 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
271 |                       </ul></td>
272 |                   </tr>
273 |                   <tr class="border">
274 |                     <td class="border" rowspan="1">3</td>
275 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
276 |                     <td class="border">10</td>
277 |                     <td class="border">Process accessed (rule: ProcessAccess)</td>
278 |                     <td class="border">Process accessed.<ul>
279 |                       <li><span class="strong">SourceProcessGUID/SourceProcessId/SourceThreadId</span>: アクセス元プロセスのプロセス/スレッドID (検体のプロセスID)</li>
280 |                       <li><span class="strong">SourceImage</span>: アクセス元プロセスのパス (検体の実行ファイル)</li>
281 |                       <li><span class="strong">TargetProcessGUID/TargetProcessId</span>: アクセス先プロセスのプロセスID (権限が昇格して実行された実行ファイルのプロセスID)</li>
282 |                       <li><span class="strong">TargetImage</span>: アクセス先プロセスのパス (権限が昇格して実行された実行ファイルのパス)</li>
283 |                       <li><span class="strong">GrantedAccess</span>: 許可されたアクセスの内容 (0x1FFFFF)</li>
284 |                       </ul></td>
285 |                   </tr>
286 |                   <tr class="border">
287 |                     <td class="border" rowspan="2">4</td>
288 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
289 |                     <td class="border">11</td>
290 |                     <td class="border">File created (rule: FileCreate)</td>
291 |                     <td class="border">File created.<ul>
292 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
293 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (C:\Windows\System32\svchost.exe)</li>
294 |                       <li><span class="strong">TargetFilename</span>: 作成されたファイル (C:\Windows\Prefetch\[検体の実行ファイル]-[文字列].pf)</li>
295 |                       <li><span class="strong">CreationUtcTime</span>: ファイル作成日時 (UTC)</li>
296 |                       </ul></td>
297 |                   </tr>
298 |                   <tr class="border">
299 |                     <!-- rowspan -->
300 |                     <td class="border">セキュリティ</td>
301 |                     <td class="border">4656/4663</td>
302 |                     <td class="border">ファイル システム</td>
303 |                     <td class="border">オブジェクトに対するハンドルが要求されました。 / オブジェクトへのアクセスが試行されました。<ul>
304 |                       <li><span class="strong">サブジェクト > セキュリティID</span>: 実行したユーザーSID</li>
305 |                       <li><span class="strong">サブジェクト > アカウント名</span>: 実行したアカウント名</li>
306 |                       <li><span class="strong">サブジェクト > アカウント ドメイン</span>: 実行したアカウントの所属ドメイン</li>
307 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
308 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル]-[文字列].pf)</li>
309 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
310 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
311 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
312 |                       <li><span class="strong">アクセス要求情報 > アクセス</span>: 要求された権限</li>
313 |                       </ul></td>
314 |                   </tr>
315 |                   <tr class="border">
316 |                     <td class="border" rowspan="2">5</td>
317 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
318 |                     <td class="border">5</td>
319 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
320 |                     <td class="border">Process terminated.<ul>
321 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
322 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
323 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル)</li>
324 |                       </ul></td>
325 |                   </tr>
326 |                   <tr class="border">
327 |                     <!-- rowspan -->
328 |                     <td class="border">セキュリティ</td>
329 |                     <td class="border">4689</td>
330 |                     <td class="border">プロセス終了</td>
331 |                     <td class="border">プロセスが終了しました。<ul>
332 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
333 |                       <li><span class="strong">サブジェクト > セキュリティID</span>: 実行したユーザーSID (SYSTEM)</li>
334 |                       <li><span class="strong">サブジェクト > アカウント名</span>: 実行したアカウント名 (ホスト名$)</li>
335 |                       <li><span class="strong">サブジェクト > アカウント ドメイン</span>: 実行したアカウントの所属ドメイン (ホストの所属するドメイン)</li>
336 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
337 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
338 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体の実行ファイル)</li>
339 |                       </ul></td>
340 |                   </tr>
341 |                 </tbody>
342 |               </table>
343 |             </div>
344 |           <h3 class="subsection"><a href="#HostDetails-MFT" class="collapse" id="a-HostDetails-MFT" onclick="showhide('HostDetails-MFT');">-</a> <a name="HostDetails-MFT">MFT</a></h3>
345 |             <div class="section" id="div-HostDetails-MFT">
346 |               <table class="border">
347 |                 <thead>
348 |                   <tr class="border">
349 |                     <th class="border_header">#</th>
350 |                     <th class="border_header">パス</th>
351 |                     <th class="border_header">ヘッダフラグ</th>
352 |                     <th class="border_header">有効</th>
353 |                   </tr>
354 |                 </thead>
355 |                 <tbody>
356 |                   <tr class="border">
357 |                     <td class="border" rowspan="1">1</td>
358 |                     <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル]-[文字列].pf</td>
359 |                     <td class="border">FILE</td>
360 |                     <td class="border">ALLOCATED</td>
361 |                   </tr>
362 |                 </tbody>
363 |               </table>
364 |             </div>
365 |           <h3 class="subsection"><a href="#HostDetails-Prefetch" class="collapse" id="a-HostDetails-Prefetch" onclick="showhide('HostDetails-Prefetch');">-</a> <a name="HostDetails-Prefetch">Prefetch</a></h3>
366 |             <div class="section" id="div-HostDetails-Prefetch">
367 |               <table class="border">
368 |                 <thead>
369 |                   <tr class="border">
370 |                     <th class="border_header">#</th>
371 |                     <th class="border_header">Prefetchファイル</th>
372 |                     <th class="border_header">プロセス名</th>
373 |                     <th class="border_header">プロセスパス</th>
374 |                     <th class="border_header">ログから得られる情報</th>
375 |                   </tr>
376 |                 </thead>
377 |                 <tbody>
378 |                   <tr class="border">
379 |                     <td class="border" rowspan="1">1</td>
380 |                     <td class="border">[検体の実行ファイル]-[文字列].pf</td>
381 |                     <td class="border">[検体の実行ファイル]</td>
382 |                     <td class="border">[検体のパス]</td>
383 |                     <td class="border">Last Run Time (最終実行日時)</td>
384 |                   </tr>
385 |                 </tbody>
386 |               </table>
387 |             </div>
388 |           <h3 class="subsection"><a href="#HostDetails-USNJournal" class="collapse" id="a-HostDetails-USNJournal" onclick="showhide('HostDetails-USNJournal');">-</a> <a name="HostDetails-USNJournal">USNジャーナル</a></h3>
389 |             <div class="section" id="div-HostDetails-USNJournal">
390 |               <table class="border">
391 |                 <thead>
392 |                   <tr class="border">
393 |                     <th class="border_header">#</th>
394 |                     <th class="border_header">ファイル名</th>
395 |                     <th class="border_header">処理</th>
396 |                     <th class="border_header">属性</th>
397 |                   </tr>
398 |                 </thead>
399 |                 <tbody>
400 |                   <tr class="border">
401 |                     <td class="border" rowspan="3">1</td>
402 |                     <td class="border">[検体の実行ファイル]-[文字列].pf</td>
403 |                     <td class="border">FILE_CREATE</td>
404 |                     <td class="border">archive+not_indexed</td>
405 |                   </tr>
406 |                   <tr class="border">
407 |                     <!-- rowspan -->
408 |                     <td class="border">[検体の実行ファイル]-[文字列].pf</td>
409 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
410 |                     <td class="border">archive+not_indexed</td>
411 |                   </tr>
412 |                   <tr class="border">
413 |                     <!-- rowspan -->
414 |                     <td class="border">[検体の実行ファイル]-[文字列].pf</td>
415 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
416 |                     <td class="border">archive+not_indexed</td>
417 |                   </tr>
418 |                 </tbody>
419 |               </table>
420 |             </div>
421 |         </div>
422 |   </body>
423 | </html>
424 | 


--------------------------------------------------------------------------------
/details/Mimikatz_lsadump-sam.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>mimikatz (パスワードハッシュ入手)</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">mimikatz > lsadump::sam</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#HostDetails">詳細：ホスト</a></li>
 20 |           </ul>
 21 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 22 |           <hr class="section_divider" />
 23 |         </div>
 24 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 25 |         <div class="section" id="div-Summary">
 26 |           <dl class="table">
 27 |             <dt class="table">カテゴリ</dt>
 28 |               <dd class="table">パスワード、ハッシュ入手</dd>
 29 |             <dt class="table">説明</dt>
 30 |               <dd class="table">OS内に保存された認証情報を搾取する。</dd>
 31 |             <dt class="table">攻撃時における想定利用例</dt>
 32 |               <dd class="table">ユーザーのパスワードを取得し、不正ログインに使用する。</dd>
 33 |           </dl>
 34 |         </div>
 35 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 36 |         <div class="section" id="div-ExecCondition">
 37 |           <table class="border">
 38 |             <thead>
 39 |               <tr class="border">
 40 |                 <th class="border_header">項目</th>
 41 |                 <th class="border_header">内容</th>
 42 |               </tr>
 43 |             </thead>
 44 |             <tbody>
 45 |               <tr class="border">
 46 |                 <td class="border_header">OS</td>
 47 |                 <td class="border">Windows</td>
 48 |               </tr>
 49 |               <tr class="border">
 50 |                 <td class="border_header">権限</td>
 51 |                 <td class="border">管理者ユーザー</td>
 52 |               </tr>
 53 |               <tr class="border">
 54 |                 <td class="border_header">ドメインへの所属</td>
 55 |                 <td class="border">不要</td>
 56 |               </tr>
 57 |             </tbody>
 58 |           </table>
 59 |         </div>
 60 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 61 |         <div class="section" id="div-Findings">
 62 |           <dl class="table">
 63 |             <dt class="table">標準設定</dt>
 64 |               <dd class="table"><ul>
 65 |                 <li>ホスト<ul>
 66 |                   <li>実行履歴 (Prefetch)</li>
 67 |                   </ul></li>
 68 |                 </ul></dd>
 69 |             <dt class="table">追加設定</dt>
 70 |               <dd class="table"><ul>
 71 |                 <li>ホスト<ul>
 72 |                   <li>実行履歴 (監査ポリシー, Sysmon)</li>
 73 |                   <li>winlogon.exeへのアクセス (Sysmon)</li>
 74 |                   </ul></li>
 75 |                 </ul></dd>
 76 |           </dl>
 77 |         </div>
 78 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 79 |         <div class="section" id="div-SuccessCondition">
 80 |           <ul>
 81 |             <li>イベントログ「Sysmon」に、winlogon.exeに対してのアクセス(イベントID: 10)が記録されている</li>
 82 |           </ul>
 83 |         </div>
 84 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 85 |         <div class="section" id="div-KeyEvents">
 86 |           <h3 class="subsection"><a href="#KeyEvents-Host" class="collapse" id="a-KeyEvents-Host" onclick="showhide('KeyEvents-Host');">-</a> <a name="KeyEvents-Host">ホスト</a></h3>
 87 |             <div class="section" id="div-KeyEvents-Host">
 88 |               <h4>イベントログ</h4>
 89 |                 <table class="border">
 90 |                   <thead>
 91 |                     <tr class="border">
 92 |                       <th class="border_header">#</th>
 93 |                       <th class="border_header">ログ</th>
 94 |                       <th class="border_header">イベントID</th>
 95 |                       <th class="border_header">タスクのカテゴリ</th>
 96 |                       <th class="border_header">イベント内容</th>
 97 |                     </tr>
 98 |                   </thead>
 99 |                   <tbody>
100 |                     <tr class="border">
101 |                       <td class="border">1</td>
102 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
103 |                       <td class="border">1</td>
104 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
105 |                       <td class="border">Process Create.<ul>
106 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
107 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
108 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
109 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (検体のパス)</li>
110 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
111 |                         </ul></td>
112 |                     </tr>
113 |                     <tr class="border">
114 |                       <td class="border">2</td>
115 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
116 |                       <td class="border">10</td>
117 |                       <td class="border">Process accessed (rule: ProcessAccess)</td>
118 |                       <td class="border">Process accessed.<ul>
119 |                         <li><span class="strong">SourceProcessGUID/SourceProcessId/SourceThreadId</span>: アクセス元プロセスのプロセス/スレッドID</li>
120 |                         <li><span class="strong">SourceImage</span>: アクセス元プロセスのパス (検体のパス)</li>
121 |                         <li><span class="strong">TargetProcessGUID/TargetProcessId</span>: アクセス先プロセスのプロセスID</li>
122 |                         <li><span class="strong">TargetImage</span>: アクセス先プロセスのパス (C:\Windows\system32\winlogon.exe)</li>
123 |                         </ul></td>
124 |                     </tr>
125 |                   </tbody>
126 |                 </table>
127 |               <h4>Prefetch</h4>
128 |                 <ul>
129 |                   <li>C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</li>
130 |                 </ul>
131 |             </div>
132 |         </div>
133 |         <hr class="section_divider">
134 |       <h2 class="section"><a href="#HostDetails" class="collapse" id="a-HostDetails" onclick="showhide('HostDetails');">-</a> <a name="HostDetails">詳細：ホスト</a></h2>
135 |         <div class="section" id="div-HostDetails">
136 |           <h3 class="subsection"><a href="#HostDetails-EventLogs" class="collapse" id="a-HostDetails-EventLogs" onclick="showhide('HostDetails-EventLogs');">-</a> <a name="HostDetails-EventLogs">イベントログ</a></h3>
137 |             <div class="section" id="div-HostDetails-EventLogs">
138 |               <table class="border">
139 |                 <thead>
140 |                   <tr class="border">
141 |                     <th class="border_header">#</th>
142 |                     <th class="border_header">イベントログ</th>
143 |                     <th class="border_header">イベントID</th>
144 |                     <th class="border_header">タスクのカテゴリ</th>
145 |                     <th class="border_header">イベント内容</th>
146 |                   </tr>
147 |                 </thead>
148 |                 <tbody>
149 |                   <tr class="border">
150 |                     <td class="border" rowspan="2">1</td>
151 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
152 |                     <td class="border">1</td>
153 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
154 |                     <td class="border">Process Create.<ul>
155 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
156 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
157 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
158 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (検体のパス)</li>
159 |                       <li><span class="strong">CurrentDirectory</span>: 作業ディレクトリ</li>
160 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
161 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
162 |                       <li><span class="strong">IntegrityLevel</span>: 特権レベル (High)</li>
163 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
164 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
165 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
166 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
167 |                       </ul></td>
168 |                   </tr>
169 |                   <tr class="border">
170 |                     <!-- rowspan -->
171 |                     <td class="border">セキュリティ</td>
172 |                     <td class="border">4688</td>
173 |                     <td class="border">プロセス作成</td>
174 |                     <td class="border">新しいプロセスが作成されました。<ul>
175 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
176 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
177 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
178 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体のパス)</li>
179 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
180 |                       <li><span class="strong">プロセス情報 > 必須ラベル</span>: 権限昇格の要否</li>
181 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
182 |                       <li><span class="strong">プロセス情報 > 作成元プロセス名</span>: 新プロセスを作成した親プロセスのパス</li>
183 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
184 |                       </ul></td>
185 |                   </tr>
186 |                   <tr class="border">
187 |                     <td class="border" rowspan="1">2</td>
188 |                     <td class="border">セキュリティ</td>
189 |                     <td class="border">4673</td>
190 |                     <td class="border">重要な特権の使用</td>
191 |                     <td class="border">特権のあるサービスが呼び出されました。<ul>
192 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
193 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
194 |                       <li><span class="strong">プロセス > プロセス名</span>: 特権を使用したプロセス</li>
195 |                       <li><span class="strong">プロセス > プロセスID</span>: 特権を使用したプロセスのプロセスID (検体のパス)</li>
196 |                       <li><span class="strong">サービス要求情報 > 特権</span>: 使用された特権 (SeTcbPrivilege)</li>
197 |                       </ul></td>
198 |                   </tr>
199 |                   <tr class="border">
200 |                     <td class="border" rowspan="4">3</td>
201 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
202 |                     <td class="border">11</td>
203 |                     <td class="border">File created (rule: FileCreate)</td>
204 |                     <td class="border">File created.<ul>
205 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
206 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (C:\Windows\System32\svchost.exe)</li>
207 |                       <li><span class="strong">TargetFilename</span>: 作成されたファイル (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
208 |                       <li><span class="strong">CreationUtcTime</span>: ファイル作成日時 (UTC)</li>
209 |                       </ul></td>
210 |                   </tr>
211 |                   <tr class="border">
212 |                     <!-- rowspan -->
213 |                     <td class="border">セキュリティ</td>
214 |                     <td class="border">4656</td>
215 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
216 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
217 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
218 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
219 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: ファイルの種類 (File)</li>
220 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
221 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
222 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
223 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
224 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限</li>
225 |                       </ul></td>
226 |                   </tr>
227 |                   <tr class="border">
228 |                     <!-- rowspan -->
229 |                     <td class="border">セキュリティ</td>
230 |                     <td class="border">4663</td>
231 |                     <td class="border">ファイル システム</td>
232 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
233 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
234 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
235 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: 対象の区分 (File)</li>
236 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
237 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)</li>
238 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
239 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
240 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限</li>
241 |                       <li><span class="strong">成功の監査</span>: 成否 (アクセス成功)</li>
242 |                       </ul></td>
243 |                   </tr>
244 |                   <tr class="border">
245 |                     <!-- rowspan -->
246 |                     <td class="border">セキュリティ</td>
247 |                     <td class="border">4658</td>
248 |                     <td class="border">ファイル システム</td>
249 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
250 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
251 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
252 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)</li>
253 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
254 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)</li>
255 |                       </ul></td>
256 |                   </tr>
257 |                   <tr class="border">
258 |                     <td class="border" rowspan="2">4</td>
259 |                     <td class="border">セキュリティ</td>
260 |                     <td class="border">4703</td>
261 |                     <td class="border">Token Right Adjusted Events</td>
262 |                     <td class="border">A token right was adjusted.<ul>
263 |                       <li><span class="strong">Subject > Security ID/Account Name/Account Domain</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
264 |                       <li><span class="strong">Subject > Logon ID</span>: プロセスを実行したユーザーのセッションID</li>
265 |                       <li><span class="strong">Target Account > Security ID/Account Name/Account Domain</span>: 対象のユーザーSID/アカウント名/ドメイン</li>
266 |                       <li><span class="strong">Target Account > Logon ID</span>: 対象ユーザーのセッションID</li>
267 |                       <li><span class="strong">Process Information > Process ID</span>: 実行したプロセスID</li>
268 |                       <li><span class="strong">Process Information > Process Name</span>: 実行したプロセス名 (検体のパス)</li>
269 |                       <li><span class="strong">Enabled Privileges</span>: 有効化された権限 (SeDebugPrivilege)</li>
270 |                       <li><span class="strong">Disabled Privileges</span>: 無効化された権限 (-)</li>
271 |                       </ul></td>
272 |                   </tr>
273 |                   <tr class="border">
274 |                     <!-- rowspan -->
275 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
276 |                     <td class="border">10</td>
277 |                     <td class="border">Process accessed (rule: ProcessAccess)</td>
278 |                     <td class="border">Process accessed.<ul>
279 |                       <li><span class="strong">SourceProcessGUID/SourceProcessId/SourceThreadId</span>: アクセス元プロセスのプロセス/スレッドID</li>
280 |                       <li><span class="strong">SourceImage</span>: アクセス元プロセスのパス (検体のパス)</li>
281 |                       <li><span class="strong">TargetProcessGUID/TargetProcessId</span>: アクセス先プロセスのプロセスID</li>
282 |                       <li><span class="strong">TargetImage</span>: アクセス先プロセスのパス (C:\Windows\system32\winlogon.exe)</li>
283 |                       <li><span class="strong">GrantedAccess</span>: 許可されたアクセスの内容</li>
284 |                       </ul></td>
285 |                   </tr>
286 |                   <tr class="border">
287 |                     <td class="border" rowspan="2">5</td>
288 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
289 |                     <td class="border">5</td>
290 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
291 |                     <td class="border">Process terminated.<ul>
292 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
293 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
294 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
295 |                       </ul></td>
296 |                   </tr>
297 |                   <tr class="border">
298 |                     <!-- rowspan -->
299 |                     <td class="border">セキュリティ</td>
300 |                     <td class="border">4689</td>
301 |                     <td class="border">プロセス終了</td>
302 |                     <td class="border">プロセスが終了しました。<ul>
303 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
304 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
305 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
306 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
307 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体のパス)</li>
308 |                       <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (0xC000013A)</li>
309 |                       </ul></td>
310 |                   </tr>
311 |                 </tbody>
312 |               </table>
313 |             </div>
314 |           <h3 class="subsection"><a href="#HostDetails-MFT" class="collapse" id="a-HostDetails-MFT" onclick="showhide('HostDetails-MFT');">-</a> <a name="HostDetails-MFT">MFT</a></h3>
315 |             <div class="section" id="div-HostDetails-MFT">
316 |               <table class="border">
317 |                 <thead>
318 |                   <tr class="border">
319 |                     <th class="border_header">#</th>
320 |                     <th class="border_header">パス</th>
321 |                     <th class="border_header">ヘッダフラグ</th>
322 |                     <th class="border_header">有効</th>
323 |                   </tr>
324 |                 </thead>
325 |                 <tbody>
326 |                   <tr class="border">
327 |                     <td class="border" rowspan="1">1</td>
328 |                     <td class="border">[ドライブ名]:\Windows\Prefetch\[検体実行ファイル名]-[文字列].pf</td>
329 |                     <td class="border">FILE</td>
330 |                     <td class="border">ALLOCATED</td>
331 |                   </tr>
332 |                 </tbody>
333 |               </table>
334 |             </div>
335 |           <h3 class="subsection"><a href="#HostDetails-Prefetch" class="collapse" id="a-HostDetails-Prefetch" onclick="showhide('HostDetails-Prefetch');">-</a> <a name="HostDetails-Prefetch">Prefetch</a></h3>
336 |             <div class="section" id="div-HostDetails-Prefetch">
337 |               <table class="border">
338 |                 <thead>
339 |                   <tr class="border">
340 |                     <th class="border_header">#</th>
341 |                     <th class="border_header">Prefetchファイル</th>
342 |                     <th class="border_header">プロセス名</th>
343 |                     <th class="border_header">プロセスパス</th>
344 |                     <th class="border_header">ログから得られる情報</th>
345 |                   </tr>
346 |                 </thead>
347 |                 <tbody>
348 |                   <tr class="border">
349 |                     <td class="border" rowspan="1">1</td>
350 |                     <td class="border">C:\Windows\Prefetch\[検体実行ファイル名]-[文字列].pf</td>
351 |                     <td class="border">[検体実行ファイル名]</td>
352 |                     <td class="border">[検体パス]</td>
353 |                     <td class="border">Last Run Time (最終実行日時)</td>
354 |                   </tr>
355 |                 </tbody>
356 |               </table>
357 |             </div>
358 |           <h3 class="subsection"><a href="#HostDetails-USNJournal" class="collapse" id="a-HostDetails-USNJournal" onclick="showhide('HostDetails-USNJournal');">-</a> <a name="HostDetails-USNJournal">USNジャーナル</a></h3>
359 |             <div class="section" id="div-HostDetails-USNJournal">
360 |               <table class="border">
361 |                 <thead>
362 |                   <tr class="border">
363 |                     <th class="border_header">#</th>
364 |                     <th class="border_header">ファイル名</th>
365 |                     <th class="border_header">処理</th>
366 |                     <th class="border_header">属性</th>
367 |                   </tr>
368 |                 </thead>
369 |                 <tbody>
370 |                   <tr class="border">
371 |                     <td class="border" rowspan="3">1</td>
372 |                     <td class="border">[検体実行ファイル名]-[文字列].pf</td>
373 |                     <td class="border">FILE_CREATE</td>
374 |                     <td class="border">archive+not_indexed</td>
375 |                   </tr>
376 |                   <tr class="border">
377 |                     <!-- rowspan -->
378 |                     <td class="border">[検体実行ファイル名]-[文字列].pf</td>
379 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
380 |                     <td class="border">archive+not_indexed</td>
381 |                   </tr>
382 |                   <tr class="border">
383 |                     <!-- rowspan -->
384 |                     <td class="border">[検体実行ファイル名]-[文字列].pf</td>
385 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
386 |                     <td class="border">archive+not_indexed</td>
387 |                   </tr>
388 |                 </tbody>
389 |               </table>
390 |             </div>
391 |         </div>
392 |   </body>
393 | </html>
394 | 


--------------------------------------------------------------------------------
/details/PwDump7.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>PwDump7</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">PwDump7</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#HostDetails">詳細：ホスト</a></li>
 20 |           </ul>
 21 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 22 |           <hr class="section_divider" />
 23 |         </div>
 24 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 25 |         <div class="section" id="div-Summary">
 26 |           <dl class="table">
 27 |             <dt class="table">カテゴリ</dt>
 28 |               <dd class="table">パスワード、ハッシュ入手</dd>
 29 |             <dt class="table">説明</dt>
 30 |               <dd class="table">ホスト内のパスワードハッシュ一覧を表示する。</dd>
 31 |             <dt class="table">攻撃時における想定利用例</dt>
 32 |               <dd class="table">取得したハッシュ情報を利用して、他のホストにログオンする。</dd>
 33 |           </dl>
 34 |         </div>
 35 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 36 |         <div class="section" id="div-ExecCondition">
 37 |           <table class="border">
 38 |             <thead>
 39 |               <tr class="border">
 40 |                 <th class="border_header">項目</th>
 41 |                 <th class="border_header">内容</th>
 42 |               </tr>
 43 |             </thead>
 44 |             <tbody>
 45 |               <tr class="border">
 46 |                 <td class="border_header">OS</td>
 47 |                 <td class="border">Windows</td>
 48 |               </tr>
 49 |               <tr class="border">
 50 |                 <td class="border_header">ドメインへの所属</td>
 51 |                 <td class="border">不要</td>
 52 |               </tr>
 53 |               <tr class="border">
 54 |                 <td class="border_header">権限</td>
 55 |                 <td class="border">管理者ユーザー</td>
 56 |               </tr>
 57 |             </tbody>
 58 |           </table>
 59 |         </div>
 60 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 61 |         <div class="section" id="div-Findings">
 62 |           <dl class="table">
 63 |             <dt class="table">標準設定</dt>
 64 |               <dd class="table"><ul>
 65 |                 <li>ホスト<ul>
 66 |                   <li>実行履歴 (Prefetch)</li>
 67 |                   </ul></li>
 68 |                 </ul></dd>
 69 |             <dt class="table">追加設定</dt>
 70 |               <dd class="table"><ul>
 71 |                 <li>ホスト<ul>
 72 |                   <li>実行履歴 (監査ポリシー, Sysmon)</li>
 73 |                   </ul></li>
 74 |                 </ul></dd>
 75 |           </dl>
 76 |         </div>
 77 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 78 |         <div class="section" id="div-SuccessCondition">
 79 |           <ul>
 80 |             <li>イベントログ、実行履歴等では判断できない</li>
 81 |           </ul>
 82 |         </div>
 83 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 84 |         <div class="section" id="div-KeyEvents">
 85 |           <h3 class="subsection"><a href="#KeyEvents-Host" class="collapse" id="a-KeyEvents-Host" onclick="showhide('KeyEvents-Host');">-</a> <a name="KeyEvents-Host">ホスト</a></h3>
 86 |             <div class="section" id="div-KeyEvents-Host">
 87 |               <h4>イベントログ</h4>
 88 |                 <table class="border">
 89 |                   <thead>
 90 |                     <tr class="border">
 91 |                       <th class="border_header">#</th>
 92 |                       <th class="border_header">ログ</th>
 93 |                       <th class="border_header">イベントID</th>
 94 |                       <th class="border_header">タスクのカテゴリ</th>
 95 |                       <th class="border_header">イベント内容</th>
 96 |                     </tr>
 97 |                   </thead>
 98 |                   <tbody>
 99 |                     <tr class="border">
100 |                       <td class="border">1</td>
101 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
102 |                       <td class="border">1</td>
103 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
104 |                       <td class="border">Process Create.<ul>
105 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
106 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
107 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
108 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン</li>
109 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
110 |                         </ul></td>
111 |                     </tr>
112 |                     <tr class="border">
113 |                       <td class="border">2</td>
114 |                       <td class="border">セキュリティ</td>
115 |                       <td class="border">4689</td>
116 |                       <td class="border">プロセス終了</td>
117 |                       <td class="border">プロセスが終了しました。<ul>
118 |                         <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
119 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
120 |                         <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
121 |                         <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス</li>
122 |                         <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値</li>
123 |                         </ul></td>
124 |                     </tr>
125 |                   </tbody>
126 |                 </table>
127 |               <h4>MFT</h4>
128 |                 <table class="border">
129 |                   <thead>
130 |                     <tr class="border">
131 |                       <th class="border_header">#</th>
132 |                       <th class="border_header">パス</th>
133 |                       <th class="border_header">ヘッダフラグ</th>
134 |                       <th class="border_header">有効</th>
135 |                     </tr>
136 |                   </thead>
137 |                   <tbody>
138 |                     <tr class="border">
139 |                       <td class="border">1</td>
140 |                       <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
141 |                       <td class="border">FILE</td>
142 |                       <td class="border">ALLOCATED</td>
143 |                     </tr>
144 |                   </tbody>
145 |                 </table>
146 |               <h4>Prefetch</h4>
147 |                 <ul>
148 |                   <li>C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</li>
149 |                 </ul>
150 |               <h4>USNジャーナル</h4>
151 |                 <table class="border">
152 |                   <thead>
153 |                     <tr class="border">
154 |                       <th class="border_header">#</th>
155 |                       <th class="border_header">ファイル名</th>
156 |                       <th class="border_header">処理</th>
157 |                     </tr>
158 |                   </thead>
159 |                   <tbody>
160 |                     <tr class="border">
161 |                       <td class="border">1</td>
162 |                       <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
163 |                       <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
164 |                     </tr>
165 |                   </tbody>
166 |                 </table>
167 |             </div>
168 |         </div>
169 |         <hr class="section_divider">
170 |       <h2 class="section"><a href="#HostDetails" class="collapse" id="a-HostDetails" onclick="showhide('HostDetails');">-</a> <a name="HostDetails">詳細：ホスト</a></h2>
171 |         <div class="section" id="div-HostDetails">
172 |           <h3 class="subsection"><a href="#HostDetails-EventLogs" class="collapse" id="a-HostDetails-EventLogs" onclick="showhide('HostDetails-EventLogs');">-</a> <a name="HostDetails-EventLogs">イベントログ</a></h3>
173 |             <div class="section" id="div-HostDetails-EventLogs">
174 |               <table class="border">
175 |                 <thead>
176 |                   <tr class="border">
177 |                     <th class="border_header">#</th>
178 |                     <th class="border_header">イベントログ</th>
179 |                     <th class="border_header">イベントID</th>
180 |                     <th class="border_header">タスクのカテゴリ</th>
181 |                     <th class="border_header">イベント内容</th>
182 |                   </tr>
183 |                 </thead>
184 |                 <tbody>
185 |                   <tr class="border">
186 |                     <td class="border" rowspan="2">1</td>
187 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
188 |                     <td class="border">1</td>
189 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
190 |                     <td class="border">Process Create.<ul>
191 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
192 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
193 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
194 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン</li>
195 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
196 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
197 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
198 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
199 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
200 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
201 |                       </ul></td>
202 |                   </tr>
203 |                   <tr class="border">
204 |                     <!-- rowspan -->
205 |                     <td class="border">セキュリティ</td>
206 |                     <td class="border">4688</td>
207 |                     <td class="border">プロセス作成</td>
208 |                     <td class="border">新しいプロセスが作成されました。<ul>
209 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
210 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
211 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (2)</li>
212 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
213 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
214 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
215 |                       <li><span class="strong">プロセス情報 > 作成元プロセス名</span>: 新プロセスを作成した親プロセスのパス</li>
216 |                       <li><span class="strong">プロセス情報 > 必須ラベル</span>: 権限昇格の要否 (Mandatory Label\High Mandatory Level)</li>
217 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
218 |                       </ul></td>
219 |                   </tr>
220 |                   <tr class="border">
221 |                     <td class="border" rowspan="2">2</td>
222 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
223 |                     <td class="border">5</td>
224 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
225 |                     <td class="border">Process terminated.<ul>
226 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
227 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
228 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
229 |                       </ul></td>
230 |                   </tr>
231 |                   <tr class="border">
232 |                     <!-- rowspan -->
233 |                     <td class="border">セキュリティ</td>
234 |                     <td class="border">4689</td>
235 |                     <td class="border">プロセス終了</td>
236 |                     <td class="border">プロセスが終了しました。<ul>
237 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
238 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
239 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
240 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
241 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス</li>
242 |                       <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値</li>
243 |                       </ul></td>
244 |                   </tr>
245 |                   <tr class="border">
246 |                     <td class="border" rowspan="4">3</td>
247 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
248 |                     <td class="border">11</td>
249 |                     <td class="border">File created (rule: FileCreate)</td>
250 |                     <td class="border">File created.<ul>
251 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
252 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
253 |                       <li><span class="strong">TargetFilename</span>: 作成されたファイル (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
254 |                       <li><span class="strong">CreationUtcTime</span>: ファイル作成日時 (UTC)</li>
255 |                       </ul></td>
256 |                   </tr>
257 |                   <tr class="border">
258 |                     <!-- rowspan -->
259 |                     <td class="border">セキュリティ</td>
260 |                     <td class="border">4656</td>
261 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
262 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
263 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
264 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
265 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: ファイルの種類 (File)</li>
266 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
267 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
268 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
269 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
270 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)</li>
271 |                       </ul></td>
272 |                   </tr>
273 |                   <tr class="border">
274 |                     <!-- rowspan -->
275 |                     <td class="border">セキュリティ</td>
276 |                     <td class="border">4663</td>
277 |                     <td class="border">ファイル システム</td>
278 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
279 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
280 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
281 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: 対象の区分 (File)</li>
282 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
283 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドルID)</li>
284 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
285 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
286 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendData)</li>
287 |                       </ul></td>
288 |                   </tr>
289 |                   <tr class="border">
290 |                     <!-- rowspan -->
291 |                     <td class="border">セキュリティ</td>
292 |                     <td class="border">4658</td>
293 |                     <td class="border">ファイル システム</td>
294 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
295 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
296 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
297 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドルID)</li>
298 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
299 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)</li>
300 |                       </ul></td>
301 |                   </tr>
302 |                 </tbody>
303 |               </table>
304 |             </div>
305 |           <h3 class="subsection"><a href="#HostDetails-MFT" class="collapse" id="a-HostDetails-MFT" onclick="showhide('HostDetails-MFT');">-</a> <a name="HostDetails-MFT">MFT</a></h3>
306 |             <div class="section" id="div-HostDetails-MFT">
307 |               <table class="border">
308 |                 <thead>
309 |                   <tr class="border">
310 |                     <th class="border_header">#</th>
311 |                     <th class="border_header">パス</th>
312 |                     <th class="border_header">ヘッダフラグ</th>
313 |                     <th class="border_header">有効</th>
314 |                   </tr>
315 |                 </thead>
316 |                 <tbody>
317 |                   <tr class="border">
318 |                     <td class="border" rowspan="1">1</td>
319 |                     <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
320 |                     <td class="border">FILE</td>
321 |                     <td class="border">ALLOCATED</td>
322 |                   </tr>
323 |                 </tbody>
324 |               </table>
325 |             </div>
326 |           <h3 class="subsection"><a href="#HostDetails-Prefetch" class="collapse" id="a-HostDetails-Prefetch" onclick="showhide('HostDetails-Prefetch');">-</a> <a name="HostDetails-Prefetch">Prefetch</a></h3>
327 |             <div class="section" id="div-HostDetails-Prefetch">
328 |               <table class="border">
329 |                 <thead>
330 |                   <tr class="border">
331 |                     <th class="border_header">#</th>
332 |                     <th class="border_header">Prefetchファイル</th>
333 |                     <th class="border_header">プロセス名</th>
334 |                     <th class="border_header">プロセスパス</th>
335 |                     <th class="border_header">ログから得られる情報</th>
336 |                   </tr>
337 |                 </thead>
338 |                 <tbody>
339 |                   <tr class="border">
340 |                     <td class="border" rowspan="1">1</td>
341 |                     <td class="border">C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
342 |                     <td class="border">[検体の実行ファイル名]</td>
343 |                     <td class="border">\VOLUME{[GUID]}\[検体のパス]</td>
344 |                     <td class="border">Last Run Time (最終実行日時)</td>
345 |                   </tr>
346 |                 </tbody>
347 |               </table>
348 |             </div>
349 |           <h3 class="subsection"><a href="#HostDetails-USNJournal" class="collapse" id="a-HostDetails-USNJournal" onclick="showhide('HostDetails-USNJournal');">-</a> <a name="HostDetails-USNJournal">USNジャーナル</a></h3>
350 |             <div class="section" id="div-HostDetails-USNJournal">
351 |               <table class="border">
352 |                 <thead>
353 |                   <tr class="border">
354 |                     <th class="border_header">#</th>
355 |                     <th class="border_header">ファイル名</th>
356 |                     <th class="border_header">処理</th>
357 |                     <th class="border_header">属性</th>
358 |                   </tr>
359 |                 </thead>
360 |                 <tbody>
361 |                   <tr class="border">
362 |                     <td class="border" rowspan="3">1</td>
363 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
364 |                     <td class="border">FILE_CREATE</td>
365 |                     <td class="border">archive+not_indexed</td>
366 |                   </tr>
367 |                   <tr class="border">
368 |                     <!-- rowspan -->
369 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
370 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
371 |                     <td class="border">archive+not_indexed</td>
372 |                   </tr>
373 |                   <tr class="border">
374 |                     <!-- rowspan -->
375 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
376 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
377 |                     <td class="border">archive+not_indexed</td>
378 |                   </tr>
379 |                 </tbody>
380 |               </table>
381 |             </div>
382 |         </div>
383 |   </body>
384 | </html>
385 | 


--------------------------------------------------------------------------------
/details/common/script.js:
--------------------------------------------------------------------------------
 1 | function showhide(id) {
 2 |   var bspace = document.getElementById("div-" + id);
 3 |   var button = document.getElementById("a-" + id);
 4 |   if(bspace.style.display != "none") {
 5 |     bspace.style.display = "none";
 6 |     button.innerHTML = "+";
 7 |   } else {
 8 |     bspace.style.display = "block";
 9 |     button.innerHTML = "-";
10 |   }
11 | }
12 | 
13 | function collapseall(mode) {
14 |   var items = [ 'Summary', 'ExecCondition', 'Findings', 'SuccessCondition', 'KeyEvents', 'HostDetails', 'SourceDetails', 'DestinationDetails', 'ADDetails', 'Packets', 'Notes' ];
15 |   for(i = 0; i < items.length; i++) {
16 |     elem_div = document.getElementById("div-" + items[i]);
17 |     elem_a = document.getElementById("a-" + items[i]);
18 |     if((elem_div == null) || (elem_a == null)) continue;
19 |     if(mode == 's') {
20 |       elem_div.style.display = "block";
21 |       elem_a.innerHTML = "-";
22 |     } else if(mode == 'h') {
23 |       elem_div.style.display = "none";
24 |       elem_a.innerHTML = "+";
25 |     }
26 |   }
27 | }
28 | 


--------------------------------------------------------------------------------
/details/common/style.css:
--------------------------------------------------------------------------------
  1 | * {
  2 |   font-family:-apple-system,system-ui,BlinkMacSystemFont,"Segoe UI",Roboto,"Helvetica Neue",Arial,"游ゴシック体","Yu Gothic",YuGothic,"Hiragino Kaku Gothic ProN", Meiryo,sans-serif;
  3 | }
  4 | 
  5 | a.collapse {
  6 |     border: 1px solid;
  7 |     color: #000000;
  8 |     font-size: smaller;
  9 |     font-weight: normal;
 10 |     padding-left: 5px;
 11 |     padding-right: 5px;
 12 |     text-decoration: none;
 13 |     font-family:-apple-system,system-ui,BlinkMacSystemFont,"Segoe UI",Roboto,"Helvetica Neue",Arial,"游ゴシック体","Yu Gothic",YuGothic,"Hiragino Kaku Gothic ProN", Meiryo,sans-serif;
 14 | }
 15 | 
 16 | h1.title {
 17 |     background-color: #000000;
 18 |     color: #FFFFFF;
 19 | }
 20 | 
 21 | h2.section {
 22 | }
 23 | 
 24 | div.section {
 25 |     display: block;
 26 |     margin-bottom: 5em;
 27 |     padding-left: 1%;
 28 |     padding-right: 1%;
 29 | }
 30 | 
 31 | div.toc {
 32 |     display: block;
 33 |     margin-bottom: 5em;
 34 |     padding-left: 1%;
 35 |     padding-right: 1%;
 36 | }
 37 | 
 38 | dl.table {
 39 | }
 40 | 
 41 | dt.table {
 42 |     border-bottom-width: 1px;
 43 |     border-bottom-style: solid;
 44 |     border-bottom-color: #000000;
 45 |     border-left-width: 6px;
 46 |     border-left-style: solid;
 47 |     border-left-color: #000000;
 48 |     font-weight: bold;
 49 |     margin-bottom: 1em;
 50 |     margin-top: 2em;
 51 |     padding-bottom: 3px;
 52 |     padding-left: 10px;
 53 | }
 54 | 
 55 | dd.table {
 56 |     margin-left: 0;
 57 | }
 58 | 
 59 | hr.section_divider {
 60 |     border-color: #CCCCCC;
 61 |     border-style: solid;
 62 |     border-width: 3px;
 63 | }
 64 | 
 65 | span.strong {
 66 |     font-weight: bold;
 67 | }
 68 | 
 69 | table.border {
 70 |     border-color: #000000;
 71 |     border-style: solid;
 72 |     border-width: 2px;
 73 | }
 74 | 
 75 | td.border {
 76 |     border-style: solid;
 77 |     border-width: 1px;
 78 |     padding-left: 1em;
 79 |     padding-right: 1em;
 80 | }
 81 | 
 82 | td.border_header {
 83 |     border-style: solid;
 84 |     border-width: 1px;
 85 |     font-weight: bold;
 86 |     padding-left: 1em;
 87 |     padding-right: 1em;
 88 | }
 89 | 
 90 | th.border_header {
 91 |     background-color: #000000 !important;
 92 |     border-style: solid;
 93 |     border-width: 1px;
 94 |     color: #FFFFFF;
 95 |     font-weight: bold;
 96 |     padding-left: 1em;
 97 |     padding-right: 1em;
 98 | }
 99 | 
100 | tr.border {
101 |     border-style: solid;
102 |     border-width: 1px;
103 | }
104 | 
105 | 
106 | @media print {
107 |   a.collapse {
108 |     display: none;
109 |   }
110 |   div.toc {
111 |     display: none;
112 |     margin-bottom: 5em;
113 |     padding-left: 1%;
114 |     padding-right: 1%;
115 |   }
116 |   h2.toc {
117 |     display: none;
118 |   }
119 |   p.toc_command {
120 |     display: none;
121 |   }
122 |   thead {
123 |     display: table-header-group;
124 |   }
125 | }
126 | 


--------------------------------------------------------------------------------
/details/dsquery.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>dsquery</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">dsquery</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#ADDetails">詳細：ドメインコントローラー</a></li>
 20 |             <li><a href="#Notes">備考</a></li>
 21 |           </ul>
 22 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 23 |           <hr class="section_divider" />
 24 |         </div>
 25 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 26 |         <div class="section" id="div-Summary">
 27 |           <dl class="table">
 28 |             <dt class="table">カテゴリ</dt>
 29 |               <dd class="table">情報収集</dd>
 30 |             <dt class="table">説明</dt>
 31 |               <dd class="table">Active Directoryから、ユーザーやグループなどの情報を取得する。</dd>
 32 |             <dt class="table">攻撃時における想定利用例</dt>
 33 |               <dd class="table">Active Directoryからアカウント情報を収集し、攻撃対象として利用可能なユーザーやホストを選択する。</dd>
 34 |           </dl>
 35 |         </div>
 36 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 37 |         <div class="section" id="div-ExecCondition">
 38 |           <table class="border">
 39 |             <thead>
 40 |               <tr class="border">
 41 |                 <th class="border_header">項目</th>
 42 |                 <th class="border_header">内容</th>
 43 |               </tr>
 44 |             </thead>
 45 |             <tbody>
 46 |               <tr class="border">
 47 |                 <td class="border_header">ドメインへの所属</td>
 48 |                 <td class="border">不要</td>
 49 |               </tr>
 50 |               <tr class="border">
 51 |                 <td class="border_header">サービス</td>
 52 |                 <td class="border">Active Directory Domain Services</td>
 53 |               </tr>
 54 |               <tr class="border">
 55 |                 <td class="border_header">OS</td>
 56 |                 <td class="border">Windows Server</td>
 57 |               </tr>
 58 |               <tr class="border">
 59 |                 <td class="border_header">権限</td>
 60 |                 <td class="border">標準ユーザー (ただし、実行するユーザの権限により取得出来ない情報が存在する)</td>
 61 |               </tr>
 62 |               <tr class="border">
 63 |                 <td class="border_header">通信プロトコル</td>
 64 |                 <td class="border">389/tcp</td>
 65 |               </tr>
 66 |             </tbody>
 67 |           </table>
 68 |         </div>
 69 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 70 |         <div class="section" id="div-Findings">
 71 |           <dl class="table">
 72 |             <dt class="table">標準設定</dt>
 73 |               <dd class="table"><ul>
 74 |                 <li>ホスト<ul>
 75 |                   <li>実行履歴 (Prefetch)</li>
 76 |                   </ul></li>
 77 |                 </ul></dd>
 78 |             <dt class="table">追加設定</dt>
 79 |               <dd class="table"><ul>
 80 |                 <li>ホスト<ul>
 81 |                   <li>実行履歴 (Sysmon・監査ポリシー)</li>
 82 |                   </ul></li>
 83 |                 </ul></dd>
 84 |           </dl>
 85 |         </div>
 86 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 87 |         <div class="section" id="div-SuccessCondition">
 88 |           <ul>
 89 |             <li>イベントログ、実行履歴等では判断できない (抽出したアカウント情報が保存されている場合は、成功したと判断できる)</li>
 90 |           </ul>
 91 |         </div>
 92 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 93 |         <div class="section" id="div-KeyEvents">
 94 |           <h3 class="subsection"><a href="#KeyEvents-AD" class="collapse" id="a-KeyEvents-AD" onclick="showhide('KeyEvents-AD');">-</a> <a name="KeyEvents-AD">ドメインコントローラー</a></h3>
 95 |             <div class="section" id="div-KeyEvents-AD">
 96 |               <h4>イベントログ</h4>
 97 |                 <table class="border">
 98 |                   <thead>
 99 |                     <tr class="border">
100 |                       <th class="border_header">#</th>
101 |                       <th class="border_header">ログ</th>
102 |                       <th class="border_header">イベントID</th>
103 |                       <th class="border_header">タスクのカテゴリ</th>
104 |                       <th class="border_header">イベント内容</th>
105 |                     </tr>
106 |                   </thead>
107 |                   <tbody>
108 |                     <tr class="border">
109 |                       <td class="border">1</td>
110 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
111 |                       <td class="border">1</td>
112 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
113 |                       <td class="border">Process Create.<ul>
114 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
115 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
116 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
117 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (検体のパス。フィルター条件が分かる)</li>
118 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
119 |                         </ul></td>
120 |                     </tr>
121 |                     <tr class="border">
122 |                       <td class="border">2</td>
123 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
124 |                       <td class="border">3</td>
125 |                       <td class="border">Network connection detected (rule: NetworkConnect)</td>
126 |                       <td class="border">Network connection detected.<ul>
127 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
128 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
129 |                         <li><span class="strong">Protocol</span>: プロトコル (tcp)</li>
130 |                         <li><span class="strong">SourceIp/SourceHostname/SourcePort</span>: 送信元IPアドレス/ホスト名/ポート番号</li>
131 |                         <li><span class="strong">DestinationIp/DestinationHostname/DestinationPort</span>: 宛先IPアドレス/ホスト名/ポート番号 (ポートは389)</li>
132 |                         </ul></td>
133 |                     </tr>
134 |                     <tr class="border">
135 |                       <td class="border">3</td>
136 |                       <td class="border">セキュリティ</td>
137 |                       <td class="border">4689</td>
138 |                       <td class="border">プロセス終了</td>
139 |                       <td class="border">プロセスが終了しました。<ul>
140 |                         <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
141 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
142 |                         <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
143 |                         <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体のパス)</li>
144 |                         <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (成功の場合は0x0)</li>
145 |                         </ul></td>
146 |                     </tr>
147 |                   </tbody>
148 |                 </table>
149 |             </div>
150 |         </div>
151 |         <hr class="section_divider">
152 |       <h2 class="section"><a href="#ADDetails" class="collapse" id="a-ADDetails" onclick="showhide('ADDetails');">-</a> <a name="ADDetails">詳細：ドメインコントローラー</a></h2>
153 |         <div class="section" id="div-ADDetails">
154 |           <h3 class="subsection"><a href="#ADDetails-EventLogs" class="collapse" id="a-ADDetails-EventLogs" onclick="showhide('ADDetails-EventLogs');">-</a> <a name="ADDetails-EventLogs">イベントログ</a></h3>
155 |             <div class="section" id="div-ADDetails-EventLogs">
156 |               <table class="border">
157 |                 <thead>
158 |                   <tr class="border">
159 |                     <th class="border_header">#</th>
160 |                     <th class="border_header">イベントログ</th>
161 |                     <th class="border_header">イベントID</th>
162 |                     <th class="border_header">タスクのカテゴリ</th>
163 |                     <th class="border_header">イベント内容</th>
164 |                   </tr>
165 |                 </thead>
166 |                 <tbody>
167 |                   <tr class="border">
168 |                     <td class="border" rowspan="2">1</td>
169 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
170 |                     <td class="border">1</td>
171 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
172 |                     <td class="border">Process Create.<ul>
173 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (検体のパス。フィルター条件が分かる)</li>
174 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
175 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
176 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
177 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
178 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
179 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
180 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
181 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
182 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
183 |                       </ul></td>
184 |                   </tr>
185 |                   <tr class="border">
186 |                     <!-- rowspan -->
187 |                     <td class="border">セキュリティ</td>
188 |                     <td class="border">4688</td>
189 |                     <td class="border">プロセス作成</td>
190 |                     <td class="border">新しいプロセスが作成されました。<ul>
191 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
192 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
193 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無</li>
194 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
195 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体のパス)</li>
196 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
197 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
198 |                       </ul></td>
199 |                   </tr>
200 |                   <tr class="border">
201 |                     <td class="border" rowspan="3">2</td>
202 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
203 |                     <td class="border">3</td>
204 |                     <td class="border">Network connection detected (rule: NetworkConnect)</td>
205 |                     <td class="border">Network connection detected.<ul>
206 |                       <li><span class="strong">DestinationPort</span>: 宛先ポート番号 (389)</li>
207 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
208 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
209 |                       <li><span class="strong">Protocol</span>: プロトコル (tcp)</li>
210 |                       <li><span class="strong">SourcePort</span>: 送信元ポート番号 (ハイポート)</li>
211 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
212 |                       </ul></td>
213 |                   </tr>
214 |                   <tr class="border">
215 |                     <!-- rowspan -->
216 |                     <td class="border">セキュリティ</td>
217 |                     <td class="border">5158</td>
218 |                     <td class="border">フィルタリング プラットフォームの接続</td>
219 |                     <td class="border">Windows フィルターリング プラットフォームで、ローカル ポートへのバインドが許可されました。<ul>
220 |                       <li><span class="strong">アプリケーション情報 > プロセスID</span>: プロセスID</li>
221 |                       <li><span class="strong">アプリケーション情報 > アプリケーション名</span>: 実行プロセス (\device\harddiskvolume2\[検体のパス])</li>
222 |                       <li><span class="strong">ネットワーク情報 > ソース ポート</span>: バインドしたローカルポート (ハイポート)</li>
223 |                       <li><span class="strong">ネットワーク情報 > プロトコル</span>: 使用したプロトコル (6=TCP)</li>
224 |                       </ul></td>
225 |                   </tr>
226 |                   <tr class="border">
227 |                     <!-- rowspan -->
228 |                     <td class="border">セキュリティ</td>
229 |                     <td class="border">5156</td>
230 |                     <td class="border">フィルタリング プラットフォームの接続</td>
231 |                     <td class="border">Windows フィルターリング プラットフォームで、接続が許可されました。<ul>
232 |                       <li><span class="strong">アプリケーション情報 > プロセスID</span>: プロセスID</li>
233 |                       <li><span class="strong">アプリケーション情報 > アプリケーション名</span>: 実行プロセス (\device\harddiskvolume2\[検体のパス])</li>
234 |                       <li><span class="strong">ネットワーク情報 > 方向</span>: 通信方向 (送信)</li>
235 |                       <li><span class="strong">ネットワーク情報 > 送信元アドレス</span>: 送信元IPアドレス (接続元)</li>
236 |                       <li><span class="strong">ネットワーク情報 > ソース ポート</span>: 送信元ポート番号 (ハイポート)</li>
237 |                       <li><span class="strong">ネットワーク情報 > 宛先アドレス</span>: 宛先IPアドレス (ドメインコントローラー)</li>
238 |                       <li><span class="strong">ネットワーク情報 > 宛先ポート</span>: 宛先ポート番号 (389)</li>
239 |                       <li><span class="strong">ネットワーク情報 > プロトコル</span>: 使用されたプロトコル (6=TCP)</li>
240 |                       </ul></td>
241 |                   </tr>
242 |                   <tr class="border">
243 |                     <td class="border" rowspan="2">3</td>
244 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
245 |                     <td class="border">3</td>
246 |                     <td class="border">Network connection detected (rule: NetworkConnect)</td>
247 |                     <td class="border">Network connection detected.<ul>
248 |                       <li><span class="strong">DestinationPort</span>: 宛先ポート番号 (ハイポート)</li>
249 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (C:\Windows\System32\lsass.exe)</li>
250 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
251 |                       <li><span class="strong">Protocol</span>: プロトコル</li>
252 |                       <li><span class="strong">SourcePort</span>: 送信元ポート番号 (389)</li>
253 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
254 |                       </ul></td>
255 |                   </tr>
256 |                   <tr class="border">
257 |                     <!-- rowspan -->
258 |                     <td class="border">セキュリティ</td>
259 |                     <td class="border">5156</td>
260 |                     <td class="border">フィルタリング プラットフォームの接続</td>
261 |                     <td class="border">Windows フィルターリング プラットフォームで、接続が許可されました。<ul>
262 |                       <li><span class="strong">アプリケーション情報 > プロセスID</span>: プロセスID</li>
263 |                       <li><span class="strong">アプリケーション情報 > アプリケーション名</span>: 実行プロセス (\device\harddiskvolume2\windows\system32\lsass.exe)</li>
264 |                       <li><span class="strong">ネットワーク情報 > 方向</span>: 通信方向 (着信)</li>
265 |                       <li><span class="strong">ネットワーク情報 > 送信元アドレス</span>: 送信元IPアドレス (ドメインコントローラー)</li>
266 |                       <li><span class="strong">ネットワーク情報 > ソース ポート</span>: 送信元ポート番号 (389)</li>
267 |                       <li><span class="strong">ネットワーク情報 > 宛先アドレス</span>: 宛先IPアドレス (接続元)</li>
268 |                       <li><span class="strong">ネットワーク情報 > 宛先ポート</span>: 宛先ポート番号 (ハイポート)</li>
269 |                       <li><span class="strong">ネットワーク情報 > プロトコル</span>: 使用されたプロトコル (6=TCP)</li>
270 |                       </ul></td>
271 |                   </tr>
272 |                   <tr class="border">
273 |                     <td class="border" rowspan="2">4</td>
274 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
275 |                     <td class="border">5</td>
276 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
277 |                     <td class="border">Process terminated.<ul>
278 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
279 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
280 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
281 |                       </ul></td>
282 |                   </tr>
283 |                   <tr class="border">
284 |                     <!-- rowspan -->
285 |                     <td class="border">セキュリティ</td>
286 |                     <td class="border">4689</td>
287 |                     <td class="border">プロセス終了</td>
288 |                     <td class="border">プロセスが終了しました。<ul>
289 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
290 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
291 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
292 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
293 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体のパス)</li>
294 |                       <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (成功の場合は0x0)</li>
295 |                       </ul></td>
296 |                   </tr>
297 |                 </tbody>
298 |               </table>
299 |             </div>
300 |         </div>
301 |         <hr class="section_divider">
302 |       <h2 class="section"><a href="#Notes" class="collapse" id="a-Notes" onclick="showhide('Notes');">-</a> <a name="Notes">備考</a></h2>
303 |         <div class="section" id="div-Notes">
304 |           <ul>
305 |             <li>ドメインに参加していない端末からでも、実行時に正しい認証情報を入力することで情報の取得が可能</li>
306 |           </ul>
307 |         </div>
308 |   </body>
309 | </html>
310 | 


--------------------------------------------------------------------------------
/details/klist-purge.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>klist purge</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">klist purge</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#HostDetails">詳細：ホスト</a></li>
 20 |           </ul>
 21 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 22 |           <hr class="section_divider" />
 23 |         </div>
 24 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 25 |         <div class="section" id="div-Summary">
 26 |           <dl class="table">
 27 |             <dt class="table">カテゴリ</dt>
 28 |               <dd class="table">痕跡の削除</dd>
 29 |             <dt class="table">説明</dt>
 30 |               <dd class="table">保存されたKerberosチケットを削除する。</dd>
 31 |             <dt class="table">攻撃時における想定利用例</dt>
 32 |               <dd class="table">攻撃時に使用したKerberosチケットをホストから削除する。</dd>
 33 |           </dl>
 34 |         </div>
 35 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 36 |         <div class="section" id="div-ExecCondition">
 37 |           <table class="border">
 38 |             <thead>
 39 |               <tr class="border">
 40 |                 <th class="border_header">項目</th>
 41 |                 <th class="border_header">内容</th>
 42 |               </tr>
 43 |             </thead>
 44 |             <tbody>
 45 |               <tr class="border">
 46 |                 <td class="border_header">権限</td>
 47 |                 <td class="border">標準ユーザー</td>
 48 |               </tr>
 49 |               <tr class="border">
 50 |                 <td class="border_header">ドメインへの所属</td>
 51 |                 <td class="border">要</td>
 52 |               </tr>
 53 |               <tr class="border">
 54 |                 <td class="border_header">OS</td>
 55 |                 <td class="border">Windows</td>
 56 |               </tr>
 57 |             </tbody>
 58 |           </table>
 59 |         </div>
 60 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 61 |         <div class="section" id="div-Findings">
 62 |           <dl class="table">
 63 |             <dt class="table">標準設定</dt>
 64 |               <dd class="table"><ul>
 65 |                 <li>ホスト<ul>
 66 |                   <li>実行履歴 (Prefetch)</li>
 67 |                   </ul></li>
 68 |                 </ul></dd>
 69 |             <dt class="table">追加設定</dt>
 70 |               <dd class="table"><ul>
 71 |                 <li>ホスト<ul>
 72 |                   <li>実行履歴 (監査ポリシー)</li>
 73 |                   </ul></li>
 74 |                 </ul></dd>
 75 |           </dl>
 76 |         </div>
 77 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 78 |         <div class="section" id="div-SuccessCondition">
 79 |           <ul>
 80 |             <li>イベントログ「セキュリティ」にklist.exeのイベントID 4689 (プロセスが終了しました)が記録され、実行結果(戻り値)が"0x0"となっている。</li>
 81 |           </ul>
 82 |         </div>
 83 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 84 |         <div class="section" id="div-KeyEvents">
 85 |           <h3 class="subsection"><a href="#KeyEvents-Host" class="collapse" id="a-KeyEvents-Host" onclick="showhide('KeyEvents-Host');">-</a> <a name="KeyEvents-Host">ホスト</a></h3>
 86 |             <div class="section" id="div-KeyEvents-Host">
 87 |               <h4>イベントログ</h4>
 88 |                 <table class="border">
 89 |                   <thead>
 90 |                     <tr class="border">
 91 |                       <th class="border_header">#</th>
 92 |                       <th class="border_header">ログ</th>
 93 |                       <th class="border_header">イベントID</th>
 94 |                       <th class="border_header">タスクのカテゴリ</th>
 95 |                       <th class="border_header">イベント内容</th>
 96 |                     </tr>
 97 |                   </thead>
 98 |                   <tbody>
 99 |                     <tr class="border">
100 |                       <td class="border">1</td>
101 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
102 |                       <td class="border">1</td>
103 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
104 |                       <td class="border">Process Create.<ul>
105 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
106 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
107 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (C:\Windows\System32\klist.exe)</li>
108 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (klist purge)</li>
109 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
110 |                         </ul></td>
111 |                     </tr>
112 |                     <tr class="border">
113 |                       <td class="border">2</td>
114 |                       <td class="border">セキュリティ</td>
115 |                       <td class="border">4689</td>
116 |                       <td class="border">プロセス終了</td>
117 |                       <td class="border">プロセスが終了しました。<ul>
118 |                         <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
119 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
120 |                         <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (C:\Windows\System32\klist.exe)</li>
121 |                         <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (0x0)</li>
122 |                         </ul></td>
123 |                     </tr>
124 |                   </tbody>
125 |                 </table>
126 |             </div>
127 |         </div>
128 |         <hr class="section_divider">
129 |       <h2 class="section"><a href="#HostDetails" class="collapse" id="a-HostDetails" onclick="showhide('HostDetails');">-</a> <a name="HostDetails">詳細：ホスト</a></h2>
130 |         <div class="section" id="div-HostDetails">
131 |           <h3 class="subsection"><a href="#HostDetails-EventLogs" class="collapse" id="a-HostDetails-EventLogs" onclick="showhide('HostDetails-EventLogs');">-</a> <a name="HostDetails-EventLogs">イベントログ</a></h3>
132 |             <div class="section" id="div-HostDetails-EventLogs">
133 |               <table class="border">
134 |                 <thead>
135 |                   <tr class="border">
136 |                     <th class="border_header">#</th>
137 |                     <th class="border_header">イベントログ</th>
138 |                     <th class="border_header">イベントID</th>
139 |                     <th class="border_header">タスクのカテゴリ</th>
140 |                     <th class="border_header">イベント内容</th>
141 |                   </tr>
142 |                 </thead>
143 |                 <tbody>
144 |                   <tr class="border">
145 |                     <td class="border" rowspan="2">1</td>
146 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
147 |                     <td class="border">1</td>
148 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
149 |                     <td class="border">Process Create.<ul>
150 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
151 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
152 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (C:\Windows\System32\klist.exe)</li>
153 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (klist purge)</li>
154 |                       <li><span class="strong">CurrentDirectory</span>: 作業ディレクトリ</li>
155 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
156 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
157 |                       <li><span class="strong">IntegrityLevel</span>: 特権レベル (Medium)</li>
158 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
159 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
160 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
161 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
162 |                       </ul></td>
163 |                   </tr>
164 |                   <tr class="border">
165 |                     <!-- rowspan -->
166 |                     <td class="border">セキュリティ</td>
167 |                     <td class="border">4688</td>
168 |                     <td class="border">プロセス作成</td>
169 |                     <td class="border">新しいプロセスが作成されました。<ul>
170 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
171 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
172 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
173 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (C:\Windows\System32\klist.exe)</li>
174 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
175 |                       <li><span class="strong">プロセス情報 > 必須ラベル</span>: 権限昇格の要否</li>
176 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
177 |                       <li><span class="strong">プロセス情報 > 作成元プロセス名</span>: 新プロセスを作成した親プロセスのパス</li>
178 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
179 |                       </ul></td>
180 |                   </tr>
181 |                   <tr class="border">
182 |                     <td class="border" rowspan="2">2</td>
183 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
184 |                     <td class="border">5</td>
185 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
186 |                     <td class="border">Process terminated.<ul>
187 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
188 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
189 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (C:\Windows\System32\klist.exe)</li>
190 |                       </ul></td>
191 |                   </tr>
192 |                   <tr class="border">
193 |                     <!-- rowspan -->
194 |                     <td class="border">セキュリティ</td>
195 |                     <td class="border">4689</td>
196 |                     <td class="border">プロセス終了</td>
197 |                     <td class="border">プロセスが終了しました。<ul>
198 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
199 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
200 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
201 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
202 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (C:\Windows\System32\klist.exe)</li>
203 |                       <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (0x0)</li>
204 |                       </ul></td>
205 |                   </tr>
206 |                   <tr class="border">
207 |                     <td class="border" rowspan="3">3</td>
208 |                     <td class="border">セキュリティ</td>
209 |                     <td class="border">4656</td>
210 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
211 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
212 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
213 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
214 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: ファイルの種類 (File)</li>
215 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\KLIST.EXE-[文字列].pf)</li>
216 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
217 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
218 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
219 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限</li>
220 |                       </ul></td>
221 |                   </tr>
222 |                   <tr class="border">
223 |                     <!-- rowspan -->
224 |                     <td class="border">セキュリティ</td>
225 |                     <td class="border">4663</td>
226 |                     <td class="border">ファイル システム</td>
227 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
228 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
229 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
230 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: 対象の区分 (File)</li>
231 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\KLIST.EXE-[文字列].pf)</li>
232 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)</li>
233 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
234 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
235 |                       <li><span class="strong">アクセス要求情報 > アクセス</span>: 要求された権限</li>
236 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限</li>
237 |                       <li><span class="strong">成功の監査</span>: 成否 (アクセス成功)</li>
238 |                       </ul></td>
239 |                   </tr>
240 |                   <tr class="border">
241 |                     <!-- rowspan -->
242 |                     <td class="border">セキュリティ</td>
243 |                     <td class="border">4658</td>
244 |                     <td class="border">ファイル システム</td>
245 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
246 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
247 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
248 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)</li>
249 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
250 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)</li>
251 |                       </ul></td>
252 |                   </tr>
253 |                 </tbody>
254 |               </table>
255 |             </div>
256 |           <h3 class="subsection"><a href="#HostDetails-MFT" class="collapse" id="a-HostDetails-MFT" onclick="showhide('HostDetails-MFT');">-</a> <a name="HostDetails-MFT">MFT</a></h3>
257 |             <div class="section" id="div-HostDetails-MFT">
258 |               <table class="border">
259 |                 <thead>
260 |                   <tr class="border">
261 |                     <th class="border_header">#</th>
262 |                     <th class="border_header">パス</th>
263 |                     <th class="border_header">ヘッダフラグ</th>
264 |                     <th class="border_header">有効</th>
265 |                   </tr>
266 |                 </thead>
267 |                 <tbody>
268 |                   <tr class="border">
269 |                     <td class="border" rowspan="1">1</td>
270 |                     <td class="border">[ドライブ名]:\Windows\Prefetch\KLIST.EXE-[文字列].pf</td>
271 |                     <td class="border">FILE</td>
272 |                     <td class="border">ALLOCATED</td>
273 |                   </tr>
274 |                 </tbody>
275 |               </table>
276 |             </div>
277 |           <h3 class="subsection"><a href="#HostDetails-Prefetch" class="collapse" id="a-HostDetails-Prefetch" onclick="showhide('HostDetails-Prefetch');">-</a> <a name="HostDetails-Prefetch">Prefetch</a></h3>
278 |             <div class="section" id="div-HostDetails-Prefetch">
279 |               <table class="border">
280 |                 <thead>
281 |                   <tr class="border">
282 |                     <th class="border_header">#</th>
283 |                     <th class="border_header">Prefetchファイル</th>
284 |                     <th class="border_header">プロセス名</th>
285 |                     <th class="border_header">プロセスパス</th>
286 |                     <th class="border_header">ログから得られる情報</th>
287 |                   </tr>
288 |                 </thead>
289 |                 <tbody>
290 |                   <tr class="border">
291 |                     <td class="border" rowspan="1">1</td>
292 |                     <td class="border">C:\Windows\Prefetch\KLIST.EXE-[文字列].pf</td>
293 |                     <td class="border">KLIST.EXE</td>
294 |                     <td class="border">C:\WINDOWS\SYSTEM32\KLIST.EXE</td>
295 |                     <td class="border">Last Run Time (最終実行日時)</td>
296 |                   </tr>
297 |                 </tbody>
298 |               </table>
299 |             </div>
300 |           <h3 class="subsection"><a href="#HostDetails-USNJournal" class="collapse" id="a-HostDetails-USNJournal" onclick="showhide('HostDetails-USNJournal');">-</a> <a name="HostDetails-USNJournal">USNジャーナル</a></h3>
301 |             <div class="section" id="div-HostDetails-USNJournal">
302 |               <table class="border">
303 |                 <thead>
304 |                   <tr class="border">
305 |                     <th class="border_header">#</th>
306 |                     <th class="border_header">ファイル名</th>
307 |                     <th class="border_header">処理</th>
308 |                     <th class="border_header">属性</th>
309 |                   </tr>
310 |                 </thead>
311 |                 <tbody>
312 |                   <tr class="border">
313 |                     <td class="border" rowspan="3">1</td>
314 |                     <td class="border">KLIST.EXE-[文字列].pf</td>
315 |                     <td class="border">FILE_CREATE</td>
316 |                     <td class="border">archive+not_indexed</td>
317 |                   </tr>
318 |                   <tr class="border">
319 |                     <!-- rowspan -->
320 |                     <td class="border">KLIST.EXE-[文字列].pf</td>
321 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
322 |                     <td class="border">archive+not_indexed</td>
323 |                   </tr>
324 |                   <tr class="border">
325 |                     <!-- rowspan -->
326 |                     <td class="border">KLIST.EXE-[文字列].pf</td>
327 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
328 |                     <td class="border">archive+not_indexed</td>
329 |                   </tr>
330 |                 </tbody>
331 |               </table>
332 |             </div>
333 |         </div>
334 |   </body>
335 | </html>
336 | 


--------------------------------------------------------------------------------
/details/ldifde.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>ldifde</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">ldifde</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#ADDetails">詳細：ドメインコントローラー</a></li>
 20 |             <li><a href="#Notes">備考</a></li>
 21 |           </ul>
 22 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 23 |           <hr class="section_divider" />
 24 |         </div>
 25 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 26 |         <div class="section" id="div-Summary">
 27 |           <dl class="table">
 28 |             <dt class="table">カテゴリ</dt>
 29 |               <dd class="table">情報収集</dd>
 30 |             <dt class="table">説明</dt>
 31 |               <dd class="table">Active Directory上のアカウント情報をLDIF形式で出力する。</dd>
 32 |             <dt class="table">攻撃時における想定利用例</dt>
 33 |               <dd class="table">Active Directoryからアカウント情報を収集し、攻撃対象として利用可能なユーザーやホストを選択する。</dd>
 34 |           </dl>
 35 |         </div>
 36 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 37 |         <div class="section" id="div-ExecCondition">
 38 |           <table class="border">
 39 |             <thead>
 40 |               <tr class="border">
 41 |                 <th class="border_header">項目</th>
 42 |                 <th class="border_header">内容</th>
 43 |               </tr>
 44 |             </thead>
 45 |             <tbody>
 46 |               <tr class="border">
 47 |                 <td class="border_header">ドメインへの所属</td>
 48 |                 <td class="border">不要</td>
 49 |               </tr>
 50 |               <tr class="border">
 51 |                 <td class="border_header">サービス</td>
 52 |                 <td class="border">Active Directory Domain Services</td>
 53 |               </tr>
 54 |               <tr class="border">
 55 |                 <td class="border_header">OS</td>
 56 |                 <td class="border">Windows Server</td>
 57 |               </tr>
 58 |               <tr class="border">
 59 |                 <td class="border_header">権限</td>
 60 |                 <td class="border">標準ユーザー</td>
 61 |               </tr>
 62 |               <tr class="border">
 63 |                 <td class="border_header">通信プロトコル</td>
 64 |                 <td class="border">389/tcp</td>
 65 |               </tr>
 66 |             </tbody>
 67 |           </table>
 68 |         </div>
 69 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 70 |         <div class="section" id="div-Findings">
 71 |           <dl class="table">
 72 |             <dt class="table">標準設定</dt>
 73 |               <dd class="table"><ul>
 74 |                 <li>ホスト<ul>
 75 |                   <li>実行履歴 (Prefetch)</li>
 76 |                   </ul></li>
 77 |                 </ul></dd>
 78 |             <dt class="table">追加設定</dt>
 79 |               <dd class="table"><ul>
 80 |                 <li>ホスト<ul>
 81 |                   <li>アカウント情報を保存したLDIFファイルが作成される (監査ポリシー, Sysmon, USNジャーナル)</li>
 82 |                   </ul></li>
 83 |                 </ul></dd>
 84 |           </dl>
 85 |         </div>
 86 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 87 |         <div class="section" id="div-SuccessCondition">
 88 |           <ul>
 89 |             <li>ldifde.exeが実行されており、"-f"オプションで指定されたファイルが作成されている</li>
 90 |           </ul>
 91 |         </div>
 92 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 93 |         <div class="section" id="div-KeyEvents">
 94 |           <h3 class="subsection"><a href="#KeyEvents-AD" class="collapse" id="a-KeyEvents-AD" onclick="showhide('KeyEvents-AD');">-</a> <a name="KeyEvents-AD">ドメインコントローラー</a></h3>
 95 |             <div class="section" id="div-KeyEvents-AD">
 96 |               <h4>イベントログ</h4>
 97 |                 <table class="border">
 98 |                   <thead>
 99 |                     <tr class="border">
100 |                       <th class="border_header">#</th>
101 |                       <th class="border_header">ログ</th>
102 |                       <th class="border_header">イベントID</th>
103 |                       <th class="border_header">タスクのカテゴリ</th>
104 |                       <th class="border_header">イベント内容</th>
105 |                     </tr>
106 |                   </thead>
107 |                   <tbody>
108 |                     <tr class="border">
109 |                       <td class="border">1</td>
110 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
111 |                       <td class="border">1</td>
112 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
113 |                       <td class="border">Process Create.<ul>
114 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
115 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
116 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (検体のパス。"-f"オプションで出力ファイル名が分かる。また、フィルターを使用した場合はフィルター条件も分かる)</li>
117 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
118 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
119 |                         </ul></td>
120 |                     </tr>
121 |                     <tr class="border">
122 |                       <td class="border">2</td>
123 |                       <td class="border">セキュリティ</td>
124 |                       <td class="border">4663</td>
125 |                       <td class="border">ファイル システム</td>
126 |                       <td class="border">オブジェクトへのアクセスが試行されました。<ul>
127 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
128 |                         <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (検体実行時に"-f"オプションで指定されたLDIFファイル)</li>
129 |                         <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (検体のパス)</li>
130 |                         <li><span class="strong">アクセス要求情報 > アクセス</span>: 要求された権限 (WriteDataまたはAddFile, AppendData)</li>
131 |                         </ul></td>
132 |                     </tr>
133 |                   </tbody>
134 |                 </table>
135 |               <h4>USNジャーナル</h4>
136 |                 <table class="border">
137 |                   <thead>
138 |                     <tr class="border">
139 |                       <th class="border_header">#</th>
140 |                       <th class="border_header">ファイル名</th>
141 |                       <th class="border_header">処理</th>
142 |                     </tr>
143 |                   </thead>
144 |                   <tbody>
145 |                     <tr class="border">
146 |                       <td class="border">1</td>
147 |                       <td class="border">[検体実行時に"-f"オプションで指定されたLDIFファイル]</td>
148 |                       <td class="border">FILE_CREATE</td>
149 |                     </tr>
150 |                   </tbody>
151 |                 </table>
152 |             </div>
153 |         </div>
154 |         <hr class="section_divider">
155 |       <h2 class="section"><a href="#ADDetails" class="collapse" id="a-ADDetails" onclick="showhide('ADDetails');">-</a> <a name="ADDetails">詳細：ドメインコントローラー</a></h2>
156 |         <div class="section" id="div-ADDetails">
157 |           <h3 class="subsection"><a href="#ADDetails-EventLogs" class="collapse" id="a-ADDetails-EventLogs" onclick="showhide('ADDetails-EventLogs');">-</a> <a name="ADDetails-EventLogs">イベントログ</a></h3>
158 |             <div class="section" id="div-ADDetails-EventLogs">
159 |               <table class="border">
160 |                 <thead>
161 |                   <tr class="border">
162 |                     <th class="border_header">#</th>
163 |                     <th class="border_header">イベントログ</th>
164 |                     <th class="border_header">イベントID</th>
165 |                     <th class="border_header">タスクのカテゴリ</th>
166 |                     <th class="border_header">イベント内容</th>
167 |                   </tr>
168 |                 </thead>
169 |                 <tbody>
170 |                   <tr class="border">
171 |                     <td class="border" rowspan="2">1</td>
172 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
173 |                     <td class="border">1</td>
174 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
175 |                     <td class="border">Process Create.<ul>
176 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (検体のパス。"-f"オプションで出力ファイル名が分かる。また、フィルターを使用した場合はフィルター条件も分かる)</li>
177 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
178 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
179 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
180 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
181 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
182 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
183 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
184 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
185 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
186 |                       </ul></td>
187 |                   </tr>
188 |                   <tr class="border">
189 |                     <!-- rowspan -->
190 |                     <td class="border">セキュリティ</td>
191 |                     <td class="border">4688</td>
192 |                     <td class="border">プロセス作成</td>
193 |                     <td class="border">新しいプロセスが作成されました。<ul>
194 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
195 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
196 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
197 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
198 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス</li>
199 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
200 |                       <li><span class="strong">プロセス情報 > 作成元プロセス名</span>: 新プロセスを作成した親プロセスのパス</li>
201 |                       <li><span class="strong">プロセス情報 > 必須ラベル</span>: 権限昇格の要否</li>
202 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
203 |                       </ul></td>
204 |                   </tr>
205 |                   <tr class="border">
206 |                     <td class="border" rowspan="2">2</td>
207 |                     <td class="border">セキュリティ</td>
208 |                     <td class="border">5158</td>
209 |                     <td class="border">フィルタリング プラットフォームの接続</td>
210 |                     <td class="border">Windows フィルターリング プラットフォームで、ローカル ポートへのバインドが許可されました。<ul>
211 |                       <li><span class="strong">アプリケーション情報 > プロセスID</span>: プロセスID</li>
212 |                       <li><span class="strong">アプリケーション情報 > アプリケーション名</span>: 実行プロセス (検体のパス)</li>
213 |                       <li><span class="strong">ネットワーク情報 > ソース ポート</span>: バインドしたローカルポート (ハイポート)</li>
214 |                       <li><span class="strong">ネットワーク情報 > プロトコル</span>: 使用したプロトコル (6=TCP)</li>
215 |                       </ul></td>
216 |                   </tr>
217 |                   <tr class="border">
218 |                     <!-- rowspan -->
219 |                     <td class="border">セキュリティ</td>
220 |                     <td class="border">5156</td>
221 |                     <td class="border">フィルタリング プラットフォームの接続</td>
222 |                     <td class="border">Windows フィルターリング プラットフォームで、接続が許可されました。<ul>
223 |                       <li><span class="strong">アプリケーション情報 > プロセスID</span>: プロセスID</li>
224 |                       <li><span class="strong">アプリケーション情報 > アプリケーション名</span>: 実行プロセス (検体のパス)</li>
225 |                       <li><span class="strong">ネットワーク情報 > 方向</span>: 通信方向 (送信)</li>
226 |                       <li><span class="strong">ネットワーク情報 > ソース ポート</span>: 送信元ポート番号 (389)</li>
227 |                       <li><span class="strong">ネットワーク情報 > プロトコル</span>: 使用されたプロトコル (6=TCP)</li>
228 |                       </ul></td>
229 |                   </tr>
230 |                   <tr class="border">
231 |                     <td class="border" rowspan="2">3</td>
232 |                     <td class="border">セキュリティ</td>
233 |                     <td class="border">5156</td>
234 |                     <td class="border">フィルタリング プラットフォームの接続</td>
235 |                     <td class="border">Windows フィルターリング プラットフォームで、接続が許可されました。<ul>
236 |                       <li><span class="strong">アプリケーション情報 > プロセスID</span>: プロセスID</li>
237 |                       <li><span class="strong">アプリケーション情報 > アプリケーション名</span>: 実行プロセス (\device\harddiskvolume2\windows\system32\lsass.exe)</li>
238 |                       <li><span class="strong">ネットワーク情報 > 方向</span>: 通信方向 (着信)</li>
239 |                       <li><span class="strong">ネットワーク情報 > ソース ポート</span>: 送信元ポート番号 (389)</li>
240 |                       <li><span class="strong">ネットワーク情報 > プロトコル</span>: 使用されたプロトコル (6=TCP)</li>
241 |                       </ul></td>
242 |                   </tr>
243 |                   <tr class="border">
244 |                     <!-- rowspan -->
245 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
246 |                     <td class="border">10</td>
247 |                     <td class="border">Process accessed (rule: ProcessAccess)</td>
248 |                     <td class="border">Process accessed.<ul>
249 |                       <li><span class="strong">SourceImage</span>: アクセス元プロセスのパス (C:\Windows\system32\lsass.exe)</li>
250 |                       <li><span class="strong">SourceProcessGUID/SourceProcessId/SourceThreadId</span>: アクセス元プロセスのプロセス/スレッドID</li>
251 |                       <li><span class="strong">TargetImage</span>: アクセス先プロセスのパス (検体のパス)</li>
252 |                       <li><span class="strong">TargetProcessGUID/TargetProcessId</span>: アクセス先プロセスのプロセスID</li>
253 |                       <li><span class="strong">GrantedAccess</span>: 許可されたアクセスの内容 (0x1478)</li>
254 |                       </ul></td>
255 |                   </tr>
256 |                   <tr class="border">
257 |                     <td class="border" rowspan="4">4</td>
258 |                     <td class="border">セキュリティ</td>
259 |                     <td class="border">4656</td>
260 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
261 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
262 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
263 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
264 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: ファイルの種類 (File)</li>
265 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (検体実行時に"-f"オプションで指定されたLDIFファイル)</li>
266 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
267 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
268 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名</li>
269 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)</li>
270 |                       </ul></td>
271 |                   </tr>
272 |                   <tr class="border">
273 |                     <!-- rowspan -->
274 |                     <td class="border">セキュリティ</td>
275 |                     <td class="border">4663</td>
276 |                     <td class="border">ファイル システム</td>
277 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
278 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
279 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
280 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: 対象の区分 (File)</li>
281 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (検体実行時に"-f"オプションで指定されたLDIFファイル)</li>
282 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドル)</li>
283 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
284 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (検体のパス)</li>
285 |                       <li><span class="strong">アクセス要求情報 > アクセス</span>: 要求された権限 (WriteDataまたはAddFile, AppendData)</li>
286 |                       <li><span class="strong">成功の監査</span>: 成否 (アクセス成功)</li>
287 |                       </ul></td>
288 |                   </tr>
289 |                   <tr class="border">
290 |                     <!-- rowspan -->
291 |                     <td class="border">セキュリティ</td>
292 |                     <td class="border">4658</td>
293 |                     <td class="border">ファイル システム</td>
294 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
295 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
296 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
297 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドル)</li>
298 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
299 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名 (検体のパス)</li>
300 |                       </ul></td>
301 |                   </tr>
302 |                   <tr class="border">
303 |                     <!-- rowspan -->
304 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
305 |                     <td class="border">11</td>
306 |                     <td class="border">File created (rule: FileCreate)</td>
307 |                     <td class="border">File created.<ul>
308 |                       <li><span class="strong">CreationUtcTime</span>: ファイル作成日時 (UTC)</li>
309 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
310 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
311 |                       <li><span class="strong">TargetFilename</span>: 作成されたファイル (検体実行時に"-f"オプションで指定されたLDIFファイル)</li>
312 |                       </ul></td>
313 |                   </tr>
314 |                   <tr class="border">
315 |                     <td class="border" rowspan="2">5</td>
316 |                     <td class="border">セキュリティ</td>
317 |                     <td class="border">4689</td>
318 |                     <td class="border">プロセス終了</td>
319 |                     <td class="border">プロセスが終了しました。<ul>
320 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
321 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
322 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
323 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体のパス)</li>
324 |                       </ul></td>
325 |                   </tr>
326 |                   <tr class="border">
327 |                     <!-- rowspan -->
328 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
329 |                     <td class="border">5</td>
330 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
331 |                     <td class="border">Process terminated.<ul>
332 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
333 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
334 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体のパス)</li>
335 |                       </ul></td>
336 |                   </tr>
337 |                 </tbody>
338 |               </table>
339 |             </div>
340 |           <h3 class="subsection"><a href="#ADDetails-MFT" class="collapse" id="a-ADDetails-MFT" onclick="showhide('ADDetails-MFT');">-</a> <a name="ADDetails-MFT">MFT</a></h3>
341 |             <div class="section" id="div-ADDetails-MFT">
342 |               <table class="border">
343 |                 <thead>
344 |                   <tr class="border">
345 |                     <th class="border_header">#</th>
346 |                     <th class="border_header">パス</th>
347 |                     <th class="border_header">ヘッダフラグ</th>
348 |                     <th class="border_header">有効</th>
349 |                   </tr>
350 |                 </thead>
351 |                 <tbody>
352 |                   <tr class="border">
353 |                     <td class="border" rowspan="1">1</td>
354 |                     <td class="border">[検体実行時に"-f"オプションで指定されたLDIFファイル]</td>
355 |                     <td class="border">FILE</td>
356 |                     <td class="border">ALLOCATED</td>
357 |                   </tr>
358 |                 </tbody>
359 |               </table>
360 |             </div>
361 |           <h3 class="subsection"><a href="#ADDetails-USNJournal" class="collapse" id="a-ADDetails-USNJournal" onclick="showhide('ADDetails-USNJournal');">-</a> <a name="ADDetails-USNJournal">USNジャーナル</a></h3>
362 |             <div class="section" id="div-ADDetails-USNJournal">
363 |               <table class="border">
364 |                 <thead>
365 |                   <tr class="border">
366 |                     <th class="border_header">#</th>
367 |                     <th class="border_header">ファイル名</th>
368 |                     <th class="border_header">処理</th>
369 |                     <th class="border_header">属性</th>
370 |                   </tr>
371 |                 </thead>
372 |                 <tbody>
373 |                   <tr class="border">
374 |                     <td class="border" rowspan="3">1</td>
375 |                     <td class="border">[検体実行時に"-f"オプションで指定されたLDIFファイル]</td>
376 |                     <td class="border">FILE_CREATE</td>
377 |                     <td class="border">archive</td>
378 |                   </tr>
379 |                   <tr class="border">
380 |                     <!-- rowspan -->
381 |                     <td class="border">[検体実行時に"-f"オプションで指定されたLDIFファイル]</td>
382 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
383 |                     <td class="border">archive</td>
384 |                   </tr>
385 |                   <tr class="border">
386 |                     <!-- rowspan -->
387 |                     <td class="border">[検体実行時に"-f"オプションで指定されたLDIFファイル]</td>
388 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
389 |                     <td class="border">archive</td>
390 |                   </tr>
391 |                 </tbody>
392 |               </table>
393 |             </div>
394 |         </div>
395 |         <hr class="section_divider">
396 |       <h2 class="section"><a href="#Notes" class="collapse" id="a-Notes" onclick="showhide('Notes');">-</a> <a name="Notes">備考</a></h2>
397 |         <div class="section" id="div-Notes">
398 |           <ul>
399 |             <li>ドメインに参加していない端末からでも、実行時に正しい認証情報を入力することで情報の取得が可能</li>
400 |             <li>MFTは、出力ファイルが削除された場合は記録が残らない</li>
401 |           </ul>
402 |         </div>
403 |   </body>
404 | </html>
405 | 


--------------------------------------------------------------------------------
/details/lslsass.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>lslsass</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">lslsass</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#HostDetails">詳細：ホスト</a></li>
 20 |           </ul>
 21 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 22 |           <hr class="section_divider" />
 23 |         </div>
 24 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 25 |         <div class="section" id="div-Summary">
 26 |           <dl class="table">
 27 |             <dt class="table">カテゴリ</dt>
 28 |               <dd class="table">パスワード、ハッシュ入手</dd>
 29 |             <dt class="table">説明</dt>
 30 |               <dd class="table">lsassプロセスから、有効なログオンセッションのパスワードハッシュを取得する。</dd>
 31 |             <dt class="table">攻撃時における想定利用例</dt>
 32 |               <dd class="table">取得したパスワードハッシュ値を使用してリモートホストにログオンする。</dd>
 33 |           </dl>
 34 |         </div>
 35 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 36 |         <div class="section" id="div-ExecCondition">
 37 |           <table class="border">
 38 |             <thead>
 39 |               <tr class="border">
 40 |                 <th class="border_header">項目</th>
 41 |                 <th class="border_header">内容</th>
 42 |               </tr>
 43 |             </thead>
 44 |             <tbody>
 45 |               <tr class="border">
 46 |                 <td class="border_header">OS</td>
 47 |                 <td class="border">Windows 7 32bit</td>
 48 |               </tr>
 49 |               <tr class="border">
 50 |                 <td class="border_header">ドメインへの所属</td>
 51 |                 <td class="border">不要</td>
 52 |               </tr>
 53 |               <tr class="border">
 54 |                 <td class="border_header">権限</td>
 55 |                 <td class="border">管理者ユーザー</td>
 56 |               </tr>
 57 |             </tbody>
 58 |           </table>
 59 |         </div>
 60 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 61 |         <div class="section" id="div-Findings">
 62 |           <dl class="table">
 63 |             <dt class="table">標準設定</dt>
 64 |               <dd class="table"><ul>
 65 |                 <li>ホスト<ul>
 66 |                   <li>実行履歴 (Prefetch)</li>
 67 |                   </ul></li>
 68 |                 </ul></dd>
 69 |             <dt class="table">追加設定</dt>
 70 |               <dd class="table"><ul>
 71 |                 <li>ホスト<ul>
 72 |                   <li>実行履歴 (監査ポリシー, Sysmon)</li>
 73 |                   <li>lsass.exeへのアクセス履歴 (Sysmon)</li>
 74 |                   </ul></li>
 75 |                 </ul></dd>
 76 |           </dl>
 77 |         </div>
 78 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 79 |         <div class="section" id="div-SuccessCondition">
 80 |           <ul>
 81 |             <li>イベントログ「Sysmon」に、lsass.exeに対してのアクセス(イベントID: 10)が記録されている</li>
 82 |           </ul>
 83 |         </div>
 84 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 85 |         <div class="section" id="div-KeyEvents">
 86 |           <h3 class="subsection"><a href="#KeyEvents-Host" class="collapse" id="a-KeyEvents-Host" onclick="showhide('KeyEvents-Host');">-</a> <a name="KeyEvents-Host">ホスト</a></h3>
 87 |             <div class="section" id="div-KeyEvents-Host">
 88 |               <h4>イベントログ</h4>
 89 |                 <table class="border">
 90 |                   <thead>
 91 |                     <tr class="border">
 92 |                       <th class="border_header">#</th>
 93 |                       <th class="border_header">ログ</th>
 94 |                       <th class="border_header">イベントID</th>
 95 |                       <th class="border_header">タスクのカテゴリ</th>
 96 |                       <th class="border_header">イベント内容</th>
 97 |                     </tr>
 98 |                   </thead>
 99 |                   <tbody>
100 |                     <tr class="border">
101 |                       <td class="border">1</td>
102 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
103 |                       <td class="border">1</td>
104 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
105 |                       <td class="border">Process Create.<ul>
106 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
107 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
108 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
109 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン</li>
110 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
111 |                         </ul></td>
112 |                     </tr>
113 |                     <tr class="border">
114 |                       <td class="border">2</td>
115 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
116 |                       <td class="border">10</td>
117 |                       <td class="border">Process accessed (rule: ProcessAccess)</td>
118 |                       <td class="border">Process accessed.<ul>
119 |                         <li><span class="strong">SourceProcessGUID/SourceProcessId/SourceThreadId</span>: アクセス元プロセスのプロセス/スレッドID</li>
120 |                         <li><span class="strong">SourceImage</span>: アクセス元プロセスのパス (検体の実行ファイル名)</li>
121 |                         <li><span class="strong">TargetProcessGUID/TargetProcessId</span>: アクセス先プロセスのプロセスID</li>
122 |                         <li><span class="strong">TargetImage</span>: アクセス先プロセスのパス (C:\Windows\system32\lsass.exe)</li>
123 |                         <li><span class="strong">GrantedAccess</span>: 許可されたアクセスの内容 (0x1438)</li>
124 |                         </ul></td>
125 |                     </tr>
126 |                     <tr class="border">
127 |                       <td class="border">3</td>
128 |                       <td class="border">セキュリティ</td>
129 |                       <td class="border">4689</td>
130 |                       <td class="border">プロセス終了</td>
131 |                       <td class="border">プロセスが終了しました。<ul>
132 |                         <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
133 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
134 |                         <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
135 |                         <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
136 |                         <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
137 |                         <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (成功時は"0x0")</li>
138 |                         </ul></td>
139 |                     </tr>
140 |                   </tbody>
141 |                 </table>
142 |               <h4>MFT</h4>
143 |                 <table class="border">
144 |                   <thead>
145 |                     <tr class="border">
146 |                       <th class="border_header">#</th>
147 |                       <th class="border_header">パス</th>
148 |                       <th class="border_header">ヘッダフラグ</th>
149 |                       <th class="border_header">有効</th>
150 |                     </tr>
151 |                   </thead>
152 |                   <tbody>
153 |                     <tr class="border">
154 |                       <td class="border">1</td>
155 |                       <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
156 |                       <td class="border">FILE</td>
157 |                       <td class="border">ALLOCATED</td>
158 |                     </tr>
159 |                   </tbody>
160 |                 </table>
161 |               <h4>Prefetch</h4>
162 |                 <ul>
163 |                   <li>C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</li>
164 |                 </ul>
165 |               <h4>USNジャーナル</h4>
166 |                 <table class="border">
167 |                   <thead>
168 |                     <tr class="border">
169 |                       <th class="border_header">#</th>
170 |                       <th class="border_header">ファイル名</th>
171 |                       <th class="border_header">処理</th>
172 |                     </tr>
173 |                   </thead>
174 |                   <tbody>
175 |                     <tr class="border">
176 |                       <td class="border">1</td>
177 |                       <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
178 |                       <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
179 |                     </tr>
180 |                   </tbody>
181 |                 </table>
182 |             </div>
183 |         </div>
184 |         <hr class="section_divider">
185 |       <h2 class="section"><a href="#HostDetails" class="collapse" id="a-HostDetails" onclick="showhide('HostDetails');">-</a> <a name="HostDetails">詳細：ホスト</a></h2>
186 |         <div class="section" id="div-HostDetails">
187 |           <h3 class="subsection"><a href="#HostDetails-EventLogs" class="collapse" id="a-HostDetails-EventLogs" onclick="showhide('HostDetails-EventLogs');">-</a> <a name="HostDetails-EventLogs">イベントログ</a></h3>
188 |             <div class="section" id="div-HostDetails-EventLogs">
189 |               <table class="border">
190 |                 <thead>
191 |                   <tr class="border">
192 |                     <th class="border_header">#</th>
193 |                     <th class="border_header">イベントログ</th>
194 |                     <th class="border_header">イベントID</th>
195 |                     <th class="border_header">タスクのカテゴリ</th>
196 |                     <th class="border_header">イベント内容</th>
197 |                   </tr>
198 |                 </thead>
199 |                 <tbody>
200 |                   <tr class="border">
201 |                     <td class="border" rowspan="2">1</td>
202 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
203 |                     <td class="border">1</td>
204 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
205 |                     <td class="border">Process Create.<ul>
206 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
207 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
208 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
209 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン</li>
210 |                       <li><span class="strong">CurrentDirectory</span>: 作業ディレクトリ</li>
211 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
212 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
213 |                       <li><span class="strong">IntegrityLevel</span>: 特権レベル</li>
214 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
215 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
216 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
217 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
218 |                       </ul></td>
219 |                   </tr>
220 |                   <tr class="border">
221 |                     <!-- rowspan -->
222 |                     <td class="border">セキュリティ</td>
223 |                     <td class="border">4688</td>
224 |                     <td class="border">プロセス作成</td>
225 |                     <td class="border">新しいプロセスが作成されました。<ul>
226 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
227 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
228 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
229 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
230 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
231 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
232 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
233 |                       </ul></td>
234 |                   </tr>
235 |                   <tr class="border">
236 |                     <td class="border" rowspan="1">2</td>
237 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
238 |                     <td class="border">10</td>
239 |                     <td class="border">Process accessed (rule: ProcessAccess)</td>
240 |                     <td class="border">Process accessed.<ul>
241 |                       <li><span class="strong">SourceProcessGUID/SourceProcessId/SourceThreadId</span>: アクセス元プロセスのプロセス/スレッドID</li>
242 |                       <li><span class="strong">SourceImage</span>: アクセス元プロセスのパス (検体の実行ファイル名)</li>
243 |                       <li><span class="strong">TargetProcessGUID/TargetProcessId</span>: アクセス先プロセスのプロセスID</li>
244 |                       <li><span class="strong">TargetImage</span>: アクセス先プロセスのパス (C:\Windows\system32\lsass.exe)</li>
245 |                       <li><span class="strong">GrantedAccess</span>: 許可されたアクセスの内容 (0x1438)</li>
246 |                       </ul></td>
247 |                   </tr>
248 |                   <tr class="border">
249 |                     <td class="border" rowspan="2">3</td>
250 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
251 |                     <td class="border">5</td>
252 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
253 |                     <td class="border">Process terminated.<ul>
254 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
255 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
256 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
257 |                       </ul></td>
258 |                   </tr>
259 |                   <tr class="border">
260 |                     <!-- rowspan -->
261 |                     <td class="border">セキュリティ</td>
262 |                     <td class="border">4689</td>
263 |                     <td class="border">プロセス終了</td>
264 |                     <td class="border">プロセスが終了しました。<ul>
265 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
266 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
267 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
268 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
269 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
270 |                       <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値 (成功時は"0x0")</li>
271 |                       </ul></td>
272 |                   </tr>
273 |                   <tr class="border">
274 |                     <td class="border" rowspan="4">4</td>
275 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
276 |                     <td class="border">11</td>
277 |                     <td class="border">File created (rule: FileCreate)</td>
278 |                     <td class="border">File created.<ul>
279 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
280 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
281 |                       <li><span class="strong">TargetFilename</span>: 作成されたファイル (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
282 |                       <li><span class="strong">CreationUtcTime</span>: ファイル作成日時 (UTC)</li>
283 |                       </ul></td>
284 |                   </tr>
285 |                   <tr class="border">
286 |                     <!-- rowspan -->
287 |                     <td class="border">セキュリティ</td>
288 |                     <td class="border">4656</td>
289 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
290 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
291 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
292 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
293 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: ファイルの種類 (File)</li>
294 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
295 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
296 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
297 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
298 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)</li>
299 |                       </ul></td>
300 |                   </tr>
301 |                   <tr class="border">
302 |                     <!-- rowspan -->
303 |                     <td class="border">セキュリティ</td>
304 |                     <td class="border">4663</td>
305 |                     <td class="border">ファイル システム</td>
306 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
307 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
308 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
309 |                       <li><span class="strong">オブジェクト > オブジェクトの種類</span>: 対象の区分 (File)</li>
310 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
311 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドルID)</li>
312 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
313 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
314 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendData)</li>
315 |                       </ul></td>
316 |                   </tr>
317 |                   <tr class="border">
318 |                     <!-- rowspan -->
319 |                     <td class="border">セキュリティ</td>
320 |                     <td class="border">4658</td>
321 |                     <td class="border">ファイル システム</td>
322 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
323 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
324 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
325 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドルID)</li>
326 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
327 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)</li>
328 |                       </ul></td>
329 |                   </tr>
330 |                 </tbody>
331 |               </table>
332 |             </div>
333 |           <h3 class="subsection"><a href="#HostDetails-MFT" class="collapse" id="a-HostDetails-MFT" onclick="showhide('HostDetails-MFT');">-</a> <a name="HostDetails-MFT">MFT</a></h3>
334 |             <div class="section" id="div-HostDetails-MFT">
335 |               <table class="border">
336 |                 <thead>
337 |                   <tr class="border">
338 |                     <th class="border_header">#</th>
339 |                     <th class="border_header">パス</th>
340 |                     <th class="border_header">ヘッダフラグ</th>
341 |                     <th class="border_header">有効</th>
342 |                   </tr>
343 |                 </thead>
344 |                 <tbody>
345 |                   <tr class="border">
346 |                     <td class="border" rowspan="1">1</td>
347 |                     <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
348 |                     <td class="border">FILE</td>
349 |                     <td class="border">ALLOCATED</td>
350 |                   </tr>
351 |                 </tbody>
352 |               </table>
353 |             </div>
354 |           <h3 class="subsection"><a href="#HostDetails-Prefetch" class="collapse" id="a-HostDetails-Prefetch" onclick="showhide('HostDetails-Prefetch');">-</a> <a name="HostDetails-Prefetch">Prefetch</a></h3>
355 |             <div class="section" id="div-HostDetails-Prefetch">
356 |               <table class="border">
357 |                 <thead>
358 |                   <tr class="border">
359 |                     <th class="border_header">#</th>
360 |                     <th class="border_header">Prefetchファイル</th>
361 |                     <th class="border_header">プロセス名</th>
362 |                     <th class="border_header">プロセスパス</th>
363 |                     <th class="border_header">ログから得られる情報</th>
364 |                   </tr>
365 |                 </thead>
366 |                 <tbody>
367 |                   <tr class="border">
368 |                     <td class="border" rowspan="1">1</td>
369 |                     <td class="border">C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
370 |                     <td class="border">検体の実行ファイル名</td>
371 |                     <td class="border">\VOLUME{[GUID]}\[検体のパス]</td>
372 |                     <td class="border">Last Run Time (最終実行日時)</td>
373 |                   </tr>
374 |                 </tbody>
375 |               </table>
376 |             </div>
377 |           <h3 class="subsection"><a href="#HostDetails-USNJournal" class="collapse" id="a-HostDetails-USNJournal" onclick="showhide('HostDetails-USNJournal');">-</a> <a name="HostDetails-USNJournal">USNジャーナル</a></h3>
378 |             <div class="section" id="div-HostDetails-USNJournal">
379 |               <table class="border">
380 |                 <thead>
381 |                   <tr class="border">
382 |                     <th class="border_header">#</th>
383 |                     <th class="border_header">ファイル名</th>
384 |                     <th class="border_header">処理</th>
385 |                     <th class="border_header">属性</th>
386 |                   </tr>
387 |                 </thead>
388 |                 <tbody>
389 |                   <tr class="border">
390 |                     <td class="border" rowspan="3">1</td>
391 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
392 |                     <td class="border">FILE_CREATE</td>
393 |                     <td class="border">archive+not_indexed</td>
394 |                   </tr>
395 |                   <tr class="border">
396 |                     <!-- rowspan -->
397 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
398 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
399 |                     <td class="border">archive+not_indexed</td>
400 |                   </tr>
401 |                   <tr class="border">
402 |                     <!-- rowspan -->
403 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
404 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
405 |                     <td class="border">archive+not_indexed</td>
406 |                   </tr>
407 |                 </tbody>
408 |               </table>
409 |             </div>
410 |         </div>
411 |   </body>
412 | </html>
413 | 


--------------------------------------------------------------------------------
/details/timestomp.htm:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="ja">
  3 |   <head>
  4 |     <meta charset="UTF-8" />
  5 |     <title>timestomp</title>
  6 |     <link rel="stylesheet" type="text/css" href="common/style.css" />
  7 |     <script language="JavaScript" type="text/javascript" src="common/script.js"></script>
  8 |   </head>
  9 |   <body>
 10 |     <h1 class="title">timestomp</h1>
 11 |       <h2 class="toc"><a href="#toc" class="collapse" id="a-toc" onclick="showhide('toc');">-</a> <a name="toc">目次</a></h2>
 12 |         <div class="toc" id="div-toc">
 13 |           <ul>
 14 |             <li><a href="#Summary">ツール概要</a></li>
 15 |             <li><a href="#ExecCondition">ツール動作概要</a></li>
 16 |             <li><a href="#Findings">ログから得られる情報</a></li>
 17 |             <li><a href="#SuccessCondition">実行成功時に確認できる痕跡</a></li>
 18 |             <li><a href="#KeyEvents">実行時に記録される主要な情報</a></li>
 19 |             <li><a href="#HostDetails">詳細：ホスト</a></li>
 20 |           </ul>
 21 |           <p class="toc_command"><a href="#" onclick="collapseall('s');">全てのセクションを開く</a> | <a href="#" onclick="collapseall('h');">全てのセクションを閉じる</a></p>
 22 |           <hr class="section_divider" />
 23 |         </div>
 24 |       <h2 class="section"><a href="#Summary" class="collapse" id="a-Summary" onclick="showhide('Summary');">-</a> <a name="Summary">ツール概要</a></h2>
 25 |         <div class="section" id="div-Summary">
 26 |           <dl class="table">
 27 |             <dt class="table">カテゴリ</dt>
 28 |               <dd class="table">痕跡の削除</dd>
 29 |             <dt class="table">説明</dt>
 30 |               <dd class="table">ファイルのタイムスタンプを変更する。</dd>
 31 |             <dt class="table">攻撃時における想定利用例</dt>
 32 |               <dd class="table">攻撃者が利用したことでタイムスタンプが変更されたファイルのタイムスタンプを戻すことで、ファイルに対してアクセスしたことを隠蔽する。</dd>
 33 |           </dl>
 34 |         </div>
 35 |       <h2 class="section"><a href="#ExecCondition" class="collapse" id="a-ExecCondition" onclick="showhide('ExecCondition');">-</a> <a name="ExecCondition">ツール動作概要</a></h2>
 36 |         <div class="section" id="div-ExecCondition">
 37 |           <table class="border">
 38 |             <thead>
 39 |               <tr class="border">
 40 |                 <th class="border_header">項目</th>
 41 |                 <th class="border_header">内容</th>
 42 |               </tr>
 43 |             </thead>
 44 |             <tbody>
 45 |               <tr class="border">
 46 |                 <td class="border_header">権限</td>
 47 |                 <td class="border">管理ユーザー</td>
 48 |               </tr>
 49 |               <tr class="border">
 50 |                 <td class="border_header">OS</td>
 51 |                 <td class="border">Windows</td>
 52 |               </tr>
 53 |               <tr class="border">
 54 |                 <td class="border_header">ドメインへの所属</td>
 55 |                 <td class="border">不要</td>
 56 |               </tr>
 57 |             </tbody>
 58 |           </table>
 59 |         </div>
 60 |       <h2 class="section"><a href="#Findings" class="collapse" id="a-Findings" onclick="showhide('Findings');">-</a> <a name="Findings">ログから得られる情報</a></h2>
 61 |         <div class="section" id="div-Findings">
 62 |           <dl class="table">
 63 |             <dt class="table">標準設定</dt>
 64 |               <dd class="table"><ul>
 65 |                 <li>ホスト<ul>
 66 |                   <li>実行履歴 (Prefetch)</li>
 67 |                   </ul></li>
 68 |                 </ul></dd>
 69 |             <dt class="table">追加設定</dt>
 70 |               <dd class="table"><ul>
 71 |                 <li>ホスト<ul>
 72 |                   <li>ファイル作成日時変更の記録 (Sysmon)</li>
 73 |                   <li>実行履歴 (監査ポリシー, Sysmon)</li>
 74 |                   </ul></li>
 75 |                 </ul></dd>
 76 |           </dl>
 77 |         </div>
 78 |       <h2 class="section"><a href="#SuccessCondition" class="collapse" id="a-SuccessCondition" onclick="showhide('SuccessCondition');">-</a> <a name="SuccessCondition">実行成功時に確認できる痕跡</a></h2>
 79 |         <div class="section" id="div-SuccessCondition">
 80 |           <ul>
 81 |             <li>イベントログ「セキュリティ」のイベントID: 4663において、対象ファイルに対する"WriteAttributes"のキーワードが"成功の監査"となっている</li>
 82 |           </ul>
 83 |         </div>
 84 |       <h2 class="section"><a href="#KeyEvents" class="collapse" id="a-KeyEvents" onclick="showhide('KeyEvents');">-</a> <a name="KeyEvents">実行時に記録される主要な情報</a></h2>
 85 |         <div class="section" id="div-KeyEvents">
 86 |           <h3 class="subsection"><a href="#KeyEvents-Host" class="collapse" id="a-KeyEvents-Host" onclick="showhide('KeyEvents-Host');">-</a> <a name="KeyEvents-Host">ホスト</a></h3>
 87 |             <div class="section" id="div-KeyEvents-Host">
 88 |               <h4>イベントログ</h4>
 89 |                 <table class="border">
 90 |                   <thead>
 91 |                     <tr class="border">
 92 |                       <th class="border_header">#</th>
 93 |                       <th class="border_header">ログ</th>
 94 |                       <th class="border_header">イベントID</th>
 95 |                       <th class="border_header">タスクのカテゴリ</th>
 96 |                       <th class="border_header">イベント内容</th>
 97 |                     </tr>
 98 |                   </thead>
 99 |                   <tbody>
100 |                     <tr class="border">
101 |                       <td class="border">1</td>
102 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
103 |                       <td class="border">1</td>
104 |                       <td class="border">Process Create (rule: ProcessCreate)</td>
105 |                       <td class="border">Process Create.<ul>
106 |                         <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
107 |                         <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
108 |                         <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
109 |                         <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (オプション内に変更されたタイムスタンプの項目と、変更後の日時が含まれる)</li>
110 |                         <li><span class="strong">User</span>: 実行ユーザー</li>
111 |                         </ul></td>
112 |                     </tr>
113 |                     <tr class="border">
114 |                       <td class="border">2</td>
115 |                       <td class="border">セキュリティ</td>
116 |                       <td class="border">4656</td>
117 |                       <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
118 |                       <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
119 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
120 |                         <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (タイムスタンプが変更されたファイル)</li>
121 |                         <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (SYNCHRONIZE、ReadAttributes、WriteAttributes)</li>
122 |                         </ul></td>
123 |                     </tr>
124 |                     <tr class="border">
125 |                       <td class="border">3</td>
126 |                       <td class="border">セキュリティ</td>
127 |                       <td class="border">4663</td>
128 |                       <td class="border">ファイル システム</td>
129 |                       <td class="border">オブジェクトへのアクセスが試行されました。<ul>
130 |                         <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
131 |                         <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (タイムスタンプが変更されたファイル)</li>
132 |                         <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (先にイベントID: 4656で要求されたハンドルID)</li>
133 |                         <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteAttributes)</li>
134 |                         <li><span class="strong">成功の監査</span>: 成否 (アクセス成功) (成功であれば、タイムスタンプの変更が成功)</li>
135 |                         </ul></td>
136 |                     </tr>
137 |                     <tr class="border">
138 |                       <td class="border">4</td>
139 |                       <td class="border">Microsoft-Windows-Sysmon/Operational</td>
140 |                       <td class="border">2</td>
141 |                       <td class="border">File creation time changed (rule: FileCreateTime)</td>
142 |                       <td class="border">File creation time changed.<ul>
143 |                         <li><span class="strong">UtcTime</span>: 変更が発生した日時 (UTC)</li>
144 |                         <li><span class="strong">TargetFilename</span>: 変更されたファイルの名前</li>
145 |                         <li><span class="strong">CreationUtcTime</span>: 変更後のタイムスタンプ (UTC)</li>
146 |                         <li><span class="strong">PreviousCreationUtcTime</span>: 変更前のタイムスタンプ (UTC)</li>
147 |                         </ul></td>
148 |                     </tr>
149 |                   </tbody>
150 |                 </table>
151 |               <h4>Prefetch</h4>
152 |                 <ul>
153 |                   <li>C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</li>
154 |                 </ul>
155 |               <h4>USNジャーナル</h4>
156 |                 <table class="border">
157 |                   <thead>
158 |                     <tr class="border">
159 |                       <th class="border_header">#</th>
160 |                       <th class="border_header">ファイル名</th>
161 |                       <th class="border_header">処理</th>
162 |                     </tr>
163 |                   </thead>
164 |                   <tbody>
165 |                     <tr class="border">
166 |                       <td class="border">1</td>
167 |                       <td class="border">[変更対象のファイル]</td>
168 |                       <td class="border">BASIC_INFO_CHANGE+CLOSE</td>
169 |                     </tr>
170 |                     <tr class="border">
171 |                       <td class="border">2</td>
172 |                       <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
173 |                       <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
174 |                     </tr>
175 |                   </tbody>
176 |                 </table>
177 |             </div>
178 |         </div>
179 |         <hr class="section_divider">
180 |       <h2 class="section"><a href="#HostDetails" class="collapse" id="a-HostDetails" onclick="showhide('HostDetails');">-</a> <a name="HostDetails">詳細：ホスト</a></h2>
181 |         <div class="section" id="div-HostDetails">
182 |           <h3 class="subsection"><a href="#HostDetails-EventLogs" class="collapse" id="a-HostDetails-EventLogs" onclick="showhide('HostDetails-EventLogs');">-</a> <a name="HostDetails-EventLogs">イベントログ</a></h3>
183 |             <div class="section" id="div-HostDetails-EventLogs">
184 |               <table class="border">
185 |                 <thead>
186 |                   <tr class="border">
187 |                     <th class="border_header">#</th>
188 |                     <th class="border_header">イベントログ</th>
189 |                     <th class="border_header">イベントID</th>
190 |                     <th class="border_header">タスクのカテゴリ</th>
191 |                     <th class="border_header">イベント内容</th>
192 |                   </tr>
193 |                 </thead>
194 |                 <tbody>
195 |                   <tr class="border">
196 |                     <td class="border" rowspan="2">1</td>
197 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
198 |                     <td class="border">1</td>
199 |                     <td class="border">Process Create (rule: ProcessCreate)</td>
200 |                     <td class="border">Process Create.<ul>
201 |                       <li><span class="strong">UtcTime</span>: プロセス実行日時 (UTC)</li>
202 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
203 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
204 |                       <li><span class="strong">CommandLine</span>: 実行コマンドのコマンドライン (オプション内に変更されたタイムスタンプの項目と、変更後の日時が含まれる)</li>
205 |                       <li><span class="strong">User</span>: 実行ユーザー</li>
206 |                       <li><span class="strong">LogonGuid/LogonId</span>: ログオンセッションのID</li>
207 |                       <li><span class="strong">Hashes</span>: 実行ファイルのハッシュ値</li>
208 |                       <li><span class="strong">ParentProcessGuid/ParentProcessId</span>: 親プロセスのプロセスID</li>
209 |                       <li><span class="strong">ParentImage</span>: 親プロセスの実行ファイル</li>
210 |                       <li><span class="strong">ParentCommandLine</span>: 親プロセスのコマンドライン</li>
211 |                       </ul></td>
212 |                   </tr>
213 |                   <tr class="border">
214 |                     <!-- rowspan -->
215 |                     <td class="border">セキュリティ</td>
216 |                     <td class="border">4688</td>
217 |                     <td class="border">プロセス作成</td>
218 |                     <td class="border">新しいプロセスが作成されました。<ul>
219 |                       <li><span class="strong">ログの日時</span>: プロセス実行日時 (ローカル時刻)</li>
220 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
221 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
222 |                       <li><span class="strong">プロセス情報 > 新しいプロセスID</span>: プロセスID (16進数)</li>
223 |                       <li><span class="strong">プロセス情報 > 新しいプロセス名</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
224 |                       <li><span class="strong">プロセス情報 > 必須ラベル</span>: 権限昇格の要否 (Mandatory Label\High Mandatory Level)</li>
225 |                       <li><span class="strong">プロセス情報 > トークン昇格の種類</span>: 権限昇格の有無 (1)</li>
226 |                       <li><span class="strong">プロセス情報 > 作成元プロセスID</span>: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」</li>
227 |                       <li><span class="strong">プロセス情報 > 作成元プロセス名</span>: 新プロセスを作成した親プロセスのパス。Windows 10のみで記録を確認</li>
228 |                       </ul></td>
229 |                   </tr>
230 |                   <tr class="border">
231 |                     <td class="border" rowspan="3">2</td>
232 |                     <td class="border">セキュリティ</td>
233 |                     <td class="border">4656</td>
234 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
235 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
236 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
237 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
238 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
239 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
240 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendData)</li>
241 |                       </ul></td>
242 |                   </tr>
243 |                   <tr class="border">
244 |                     <!-- rowspan -->
245 |                     <td class="border">セキュリティ</td>
246 |                     <td class="border">4663</td>
247 |                     <td class="border">ファイル システム</td>
248 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
249 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
250 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
251 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)</li>
252 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (先にイベントID: 4656で要求されたハンドルID)</li>
253 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)</li>
254 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteDataまたはAddFile, AppendData)</li>
255 |                       </ul></td>
256 |                   </tr>
257 |                   <tr class="border">
258 |                     <!-- rowspan -->
259 |                     <td class="border">セキュリティ</td>
260 |                     <td class="border">4658</td>
261 |                     <td class="border">ファイル システム</td>
262 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
263 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
264 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
265 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
266 |                       <li><span class="strong">プロセス情報 > プロセスID</span>: プロセスID (16進数)</li>
267 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名</li>
268 |                       </ul></td>
269 |                   </tr>
270 |                   <tr class="border">
271 |                     <td class="border" rowspan="5">3</td>
272 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
273 |                     <td class="border">2</td>
274 |                     <td class="border">File creation time changed (rule: FileCreateTime)</td>
275 |                     <td class="border">File creation time changed.<ul>
276 |                       <li><span class="strong">UtcTime</span>: 変更が発生した日時 (UTC)</li>
277 |                       <li><span class="strong">TargetFilename</span>: 変更されたファイルの名前</li>
278 |                       <li><span class="strong">CreationUtcTime</span>: 変更後のタイムスタンプ (UTC)</li>
279 |                       <li><span class="strong">PreviousCreationUtcTime</span>: 変更前のタイムスタンプ (UTC)</li>
280 |                       </ul></td>
281 |                   </tr>
282 |                   <tr class="border">
283 |                     <!-- rowspan -->
284 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
285 |                     <td class="border">9</td>
286 |                     <td class="border">RawAccessRead detected (rule: RawAccessRead)</td>
287 |                     <td class="border">RawAccessRead detected.<ul>
288 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
289 |                       <li><span class="strong">Device</span>: 対象ファイルが存在するデバイス名</li>
290 |                       </ul></td>
291 |                   </tr>
292 |                   <tr class="border">
293 |                     <!-- rowspan -->
294 |                     <td class="border">セキュリティ</td>
295 |                     <td class="border">4656</td>
296 |                     <td class="border">ファイル システム / その他のオブジェクト アクセス イベント</td>
297 |                     <td class="border">オブジェクトに対するハンドルが要求されました。<ul>
298 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
299 |                       <li><span class="strong">サブジェクト > ログオンID</span>: プロセスを実行したユーザーのセッションID</li>
300 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (タイムスタンプが変更されたファイル)</li>
301 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID</li>
302 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (SYNCHRONIZE, ReadAttributes, WriteAttributes)</li>
303 |                       </ul></td>
304 |                   </tr>
305 |                   <tr class="border">
306 |                     <!-- rowspan -->
307 |                     <td class="border">セキュリティ</td>
308 |                     <td class="border">4663</td>
309 |                     <td class="border">ファイル システム</td>
310 |                     <td class="border">オブジェクトへのアクセスが試行されました。<ul>
311 |                       <li><span class="strong">サブジェクト > セキュリティID/アカウント名/アカウント ドメイン</span>: 実行したユーザーSID/アカウント名/ドメイン</li>
312 |                       <li><span class="strong">オブジェクト > オブジェクト名</span>: 対象のファイル名 (タイムスタンプが変更されたファイル)</li>
313 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (先にイベントID: 4656で要求されたハンドルID)</li>
314 |                       <li><span class="strong">アクセス要求情報 > アクセス/アクセス理由/アクセス マスク</span>: 要求された権限 (WriteAttributes)</li>
315 |                       <li><span class="strong">成功の監査</span>: 成否 (アクセス成功) (成功であれば、タイムスタンプの変更が成功)</li>
316 |                       </ul></td>
317 |                   </tr>
318 |                   <tr class="border">
319 |                     <!-- rowspan -->
320 |                     <td class="border">セキュリティ</td>
321 |                     <td class="border">4658</td>
322 |                     <td class="border">ファイル システム</td>
323 |                     <td class="border">オブジェクトに対するハンドルが閉じました。<ul>
324 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: オブジェクトを要求したプロセス名 (検体の実行ファイル名)</li>
325 |                       <li><span class="strong">オブジェクト > ハンドルID</span>: 当該ハンドルの識別ID (先にイベントID: 4656で要求されたハンドルID)</li>
326 |                       </ul></td>
327 |                   </tr>
328 |                   <tr class="border">
329 |                     <td class="border" rowspan="2">4</td>
330 |                     <td class="border">セキュリティ</td>
331 |                     <td class="border">4689</td>
332 |                     <td class="border">プロセス終了</td>
333 |                     <td class="border">プロセスが終了しました。<ul>
334 |                       <li><span class="strong">ログの日時</span>: プロセス終了日時 (ローカル時刻)</li>
335 |                       <li><span class="strong">プロセス情報 > プロセス名</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
336 |                       <li><span class="strong">プロセス情報 > 終了状態</span>: プロセスの戻り値</li>
337 |                       </ul></td>
338 |                   </tr>
339 |                   <tr class="border">
340 |                     <!-- rowspan -->
341 |                     <td class="border">Microsoft-Windows-Sysmon/Operational</td>
342 |                     <td class="border">5</td>
343 |                     <td class="border">Process terminated (rule: ProcessTerminate)</td>
344 |                     <td class="border">Process terminated.<ul>
345 |                       <li><span class="strong">UtcTime</span>: プロセス終了日時 (UTC)</li>
346 |                       <li><span class="strong">ProcessGuid/ProcessId</span>: プロセスID</li>
347 |                       <li><span class="strong">Image</span>: 実行ファイルのパス (検体の実行ファイル名)</li>
348 |                       </ul></td>
349 |                   </tr>
350 |                 </tbody>
351 |               </table>
352 |             </div>
353 |           <h3 class="subsection"><a href="#HostDetails-MFT" class="collapse" id="a-HostDetails-MFT" onclick="showhide('HostDetails-MFT');">-</a> <a name="HostDetails-MFT">MFT</a></h3>
354 |             <div class="section" id="div-HostDetails-MFT">
355 |               <table class="border">
356 |                 <thead>
357 |                   <tr class="border">
358 |                     <th class="border_header">#</th>
359 |                     <th class="border_header">パス</th>
360 |                     <th class="border_header">ヘッダフラグ</th>
361 |                     <th class="border_header">有効</th>
362 |                   </tr>
363 |                 </thead>
364 |                 <tbody>
365 |                   <tr class="border">
366 |                     <td class="border" rowspan="1">1</td>
367 |                     <td class="border">[変更対象のファイル]</td>
368 |                     <td class="border">FILE</td>
369 |                     <td class="border">ALLOCATED (タイムスタンプが変更されるが、それ以外の情報は変動しない)</td>
370 |                   </tr>
371 |                   <tr class="border">
372 |                     <td class="border" rowspan="1">2</td>
373 |                     <td class="border">[ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf</td>
374 |                     <td class="border">FILE</td>
375 |                     <td class="border">ALLOCATED</td>
376 |                   </tr>
377 |                 </tbody>
378 |               </table>
379 |             </div>
380 |           <h3 class="subsection"><a href="#HostDetails-USNJournal" class="collapse" id="a-HostDetails-USNJournal" onclick="showhide('HostDetails-USNJournal');">-</a> <a name="HostDetails-USNJournal">USNジャーナル</a></h3>
381 |             <div class="section" id="div-HostDetails-USNJournal">
382 |               <table class="border">
383 |                 <thead>
384 |                   <tr class="border">
385 |                     <th class="border_header">#</th>
386 |                     <th class="border_header">ファイル名</th>
387 |                     <th class="border_header">処理</th>
388 |                     <th class="border_header">属性</th>
389 |                   </tr>
390 |                 </thead>
391 |                 <tbody>
392 |                   <tr class="border">
393 |                     <td class="border" rowspan="2">1</td>
394 |                     <td class="border">[変更対象のファイル]</td>
395 |                     <td class="border">BASIC_INFO_CHANGE</td>
396 |                     <td class="border">archive</td>
397 |                   </tr>
398 |                   <tr class="border">
399 |                     <!-- rowspan -->
400 |                     <td class="border">[変更対象のファイル]</td>
401 |                     <td class="border">BASIC_INFO_CHANGE+CLOSE</td>
402 |                     <td class="border">archive</td>
403 |                   </tr>
404 |                   <tr class="border">
405 |                     <td class="border" rowspan="3">2</td>
406 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
407 |                     <td class="border">FILE_CREATE</td>
408 |                     <td class="border">archive+not_indexed</td>
409 |                   </tr>
410 |                   <tr class="border">
411 |                     <!-- rowspan -->
412 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
413 |                     <td class="border">DATA_EXTEND+FILE_CREATE</td>
414 |                     <td class="border">archive+not_indexed</td>
415 |                   </tr>
416 |                   <tr class="border">
417 |                     <!-- rowspan -->
418 |                     <td class="border">[検体の実行ファイル名]-[文字列].pf</td>
419 |                     <td class="border">CLOSE+DATA_EXTEND+FILE_CREATE</td>
420 |                     <td class="border">archive+not_indexed</td>
421 |                   </tr>
422 |                 </tbody>
423 |               </table>
424 |             </div>
425 |         </div>
426 |   </body>
427 | </html>
428 | 


--------------------------------------------------------------------------------
/index.html:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="en">
  3 | 
  4 | <head>
  5 |   <meta charset="utf-8">
  6 |   <meta http-equiv="X-UA-Compatible" content="IE=edge">
  7 |   <meta name="viewport" content="width=device-width, initial-scale=1">
  8 | 
  9 |   <title>ツール分析結果シート</title>
 10 | 
 11 |   <link href="css/bootstrap.min.css" rel="stylesheet">
 12 |   <link href="css/dashboard.css" rel="stylesheet">
 13 | 
 14 |   <script src="js/jquery.min.js"></script>
 15 |   <script src="js/bootstrap.min.js"></script>
 16 | </head>
 17 | 
 18 | <body>
 19 |   <nav class="navbar navbar-toggleable-md navbar-inverse fixed-top bg-inverse">
 20 |     <button class="navbar-toggler navbar-toggler-right hidden-lg-up" type="button" data-toggle="collapse" data-target="#navbarsDefault" aria-controls="navbarsDefault" aria-expanded="false" aria-label="Toggle navigation">
 21 |       <span class="navbar-toggler-icon"></span>
 22 |     </button>
 23 |     <a class="navbar-brand" href="#">ツール分析結果シート</a>
 24 |     <div class="collapse navbar-collapse" id="navbarsDefault">
 25 |       <ul class="navbar-nav mr-auto">
 26 |         <li class="nav-item"><a class="nav-link" href="https://www.jpcert.or.jp/research/ir_research.html" target="_blank">レポート</a></li>
 27 |         <li class="nav-item"><a class="nav-link" href="tool-list.html" target="mainframe">分析ツール一覧</a></li>
 28 |         <li class="nav-item"><a class="nav-link" href="https://github.com/JPCERTCC/ToolAnalysisResultSheet_jp" target="_blank">ダウンロード</a></li>
 29 |       </ul>
 30 |       <form class="form-inline mt-2 mt-md-0" method="get" action="https://www.google.co.jp/search" target="_blank">
 31 |         <input class="form-control mr-sm-2" name="q" type="text" placeholder="Search">
 32 |         <input type="hidden" name="hl" value="ja">
 33 |         <input type="hidden" name="sitesearch" value="jpcertcc.github.io/ToolAnalysisResultSheet_jp/">
 34 |         <input class="btn btn-outline-success my-2 my-sm-0" type="submit" value="検索">
 35 |       </form>
 36 |     </div>
 37 |   </nav>
 38 | 
 39 |   <div class="container-fluid">
 40 |     <div class="row">
 41 |       <nav class="col-sm-3 col-md-2 hidden-xs-down bg-faded sidebar">
 42 |         <ul class="nav nav-pills flex-column">
 43 |           <li class="nav-item">
 44 |             <a class="nav-link" href="overview.html" target="mainframe">このサイトについて</a>
 45 |           </li>
 46 |         </ul>
 47 |         <ul class="nav nav-pills flex-column">
 48 |           <li class="nav-link">コマンド実行</li>
 49 |           <li class="nav-item">
 50 |             <a class="nav-link" href="details/PsExec.htm" target="mainframe">PsExec</a>
 51 |           </li>
 52 |           <li class="nav-item">
 53 |             <a class="nav-link" href="details/wmic.htm" target="mainframe">wmic</a>
 54 |           </li>
 55 |           <li class="nav-item">
 56 |             <a class="nav-link" href="details/schtasks.htm" target="mainframe">schtasks</a>
 57 |           </li>
 58 |           <li class="nav-item">
 59 |             <a class="nav-link" href="details/wmiexec-vbs.htm" target="mainframe">wmiexec.vbs</a>
 60 |           </li>
 61 |           <li class="nav-item">
 62 |             <a class="nav-link" href="details/BeginX.htm" target="mainframe">BeginX</a>
 63 |           </li>
 64 |           <li class="nav-item">
 65 |             <a class="nav-link" href="details/WinRM.htm" target="mainframe">WinRM</a>
 66 |           </li>
 67 |           <li class="nav-item">
 68 |             <a class="nav-link" href="details/WinRS.htm" target="mainframe">WinRS</a>
 69 |           </li>
 70 |           <li class="nav-item">
 71 |             <a class="nav-link" href="details/BITS.htm" target="mainframe">BITS</a>
 72 |           </li>
 73 |         </ul>
 74 | 
 75 |         <ul class="nav nav-pills flex-column">
 76 |           <li class="nav-link">パスワード、ハッシュの入手</li>
 77 |           <li class="nav-item">
 78 |             <a class="nav-link" href="details/PwDump7.htm" target="mainframe">PWDump7</a>
 79 |           </li>
 80 |           <li class="nav-item">
 81 |             <a class="nav-link" href="details/PWDumpX.htm" target="mainframe">PWDumpX</a>
 82 |           </li>
 83 |           <li class="nav-item">
 84 |             <a class="nav-link" href="details/QuarksPWDump.htm" target="mainframe">Quarks PwDump</a>
 85 |           </li>
 86 |           <li class="nav-item">
 87 |             <a class="nav-link" href="details/Mimikatz_lsadump-sam.htm" target="mainframe">Mimikatz (パスワードハッシュ入手 lsadump::sam)</a>
 88 |           </li>
 89 |           <li class="nav-item">
 90 |             <a class="nav-link" href="details/Mimikatz_sekurlsa-logonpasswords.htm" target="mainframe">Mimikatz (パスワードハッシュ入手 sekurlsa::logonpasswords)</a>
 91 |           </li>
 92 |           <li class="nav-item">
 93 |             <a class="nav-link" href="details/Mimikatz_sekurlsa-tickets.htm" target="mainframe">Mimikatz (チケット入手 sekurlsa::tickets)</a>
 94 |           </li>
 95 |           <li class="nav-item">
 96 |             <a class="nav-link" href="details/WCE.htm" target="mainframe">WCE</a>
 97 |           </li>
 98 |           <li class="nav-item">
 99 |             <a class="nav-link" href="details/gsecdump.htm" target="mainframe">gsecdump</a>
100 |           </li>
101 |           <li class="nav-item">
102 |             <a class="nav-link" href="details/lslsass.htm" target="mainframe">lslsass</a>
103 |           </li>
104 |           <li class="nav-item">
105 |             <a class="nav-link" href="details/AceHash.htm" target="mainframe">AceHash</a>
106 |           </li>
107 |           <li class="nav-item">
108 |             <a class="nav-link" href="details/Find-GPOPasswords.htm" target="mainframe">Find-GPOPasswords.ps1</a>
109 |           </li>
110 |           <li class="nav-item">
111 |             <a class="nav-link" href="details/PowerSploit_GetGPPPassword.htm" target="mainframe">Get-GPPPassword</a>
112 |           </li>
113 |           <li class="nav-item">
114 |             <a class="nav-link" href="details/PowerSploit_Invoke-Mimikatz.htm" target="mainframe">Invoke-Mimikatz</a>
115 |           </li>
116 |           <li class="nav-item">
117 |             <a class="nav-link" href="details/PowerSploit_Out-Minidump.htm" target="mainframe">Out-Minidump</a>
118 |           </li>
119 |           <li class="nav-item">
120 |             <a class="nav-link" href="details/PowerMemory.htm" target="mainframe">PowerMemory</a>
121 |           </li>
122 |           <li class="nav-item">
123 |             <a class="nav-link" href="details/WebBrowserPassView.htm" target="mainframe">WebBrowserPassView</a>
124 |           </li>
125 |         </ul>
126 | 
127 |         <ul class="nav nav-pills flex-column">
128 |           <li class="nav-link">通信の不正中継</li>
129 |           <li class="nav-item">
130 |             <a class="nav-link" href="details/Htran.htm" target="mainframe">Htran</a>
131 |           </li>
132 |           <li class="nav-item">
133 |             <a class="nav-link" href="details/FakeWpad.htm" target="mainframe">Fake wpad</a>
134 |           </li>
135 |         </ul>
136 | 
137 |         <ul class="nav nav-pills flex-column">
138 |           <li class="nav-link">リモートログイン</li>
139 |           <li class="nav-item">
140 |             <a class="nav-link" href="details/mstsc.htm" target="mainframe">RDP</a>
141 |           </li>
142 |         </ul>
143 | 
144 |         <ul class="nav nav-pills flex-column">
145 |           <li class="nav-link">Pass-the-hash<br>Pass-the-ticket</li>
146 |           <li class="nav-item">
147 |             <a class="nav-link" href="details/RemoteLogin-WCE.htm" target="mainframe">WCE (リモートログイン)</a>
148 |           </li>
149 |           <li class="nav-item">
150 |             <a class="nav-link" href="details/RemoteLogin-Mimikatz.htm" target="mainframe">Mimikatz (リモートログイン)</a>
151 |           </li>
152 |         </ul>
153 | 
154 |         <ul class="nav nav-pills flex-column">
155 |           <li class="nav-link">権限昇格</li>
156 |           <li class="nav-item">
157 |             <a class="nav-link" href="details/MS14-058.htm" target="mainframe">MS14-058 Exploit</a>
158 |           </li>
159 |           <li class="nav-item">
160 |             <a class="nav-link" href="details/MS15-078.htm" target="mainframe">MS15-078 Exploit</a>
161 |           </li>
162 |           <li class="nav-item">
163 |             <a class="nav-link" href="details/SDB-UAC-Bypass.htm" target="mainframe">SDB UAC Bypass</a>
164 |           </li>
165 |         </ul>
166 | 
167 |         <ul class="nav nav-pills flex-column">
168 |           <li class="nav-link">ドメイン管理者権限<br>アカウントの奪取</li>
169 |           <li class="nav-item">
170 |             <a class="nav-link" href="details/MS14-068.htm" target="mainframe">MS14-068 Exploit</a>
171 |           </li>
172 |           <li class="nav-item">
173 |             <a class="nav-link" href="details/Mimikatz_GoldenTicket.htm" target="mainframe">Golden Ticket (Mimikatz)</a>
174 |           </li>
175 |           <li class="nav-item">
176 |             <a class="nav-link" href="details/Mimikatz_SilverTicket.htm" target="mainframe">Silver Ticket (Mimikatz)</a>
177 |           </li>
178 |         </ul>
179 | 
180 |         <ul class="nav nav-pills flex-column">
181 |           <li class="nav-link">情報収集</li>
182 |           <li class="nav-item">
183 |             <a class="nav-link" href="details/ntdsutil.htm" target="mainframe">ntdsutil</a>
184 |           </li>
185 |           <li class="nav-item">
186 |             <a class="nav-link" href="details/vssadmin.htm" target="mainframe">vssadmin</a>
187 |           </li>
188 |           <li class="nav-item">
189 |             <a class="nav-link" href="details/csvde.htm" target="mainframe">csvde</a>
190 |           </li>
191 |           <li class="nav-item">
192 |             <a class="nav-link" href="details/ldifde.htm" target="mainframe">ldifde</a>
193 |           </li>
194 |           <li class="nav-item">
195 |             <a class="nav-link" href="details/dsquery.htm" target="mainframe">dsquery</a>
196 |           </li>
197 |           <li class="nav-item">
198 |             <a class="nav-link" href="details/dcdiag.htm" target="mainframe">dcdiag</a>
199 |           </li>
200 |           <li class="nav-item">
201 |             <a class="nav-link" href="details/nltest.htm" target="mainframe">nltest</a>
202 |           </li>
203 |           <li class="nav-item">
204 |             <a class="nav-link" href="details/nmap.htm" target="mainframe">nmap</a>
205 |           </li>
206 |         </ul>
207 | 
208 |         <ul class="nav nav-pills flex-column">
209 |           <li class="nav-link">ローカルユーザー・グループの追加・削除</li>
210 |           <li class="nav-item">
211 |             <a class="nav-link" href="details/net-user.htm" target="mainframe">net user</a>
212 |           </li>
213 |         </ul>
214 | 
215 |         <ul class="nav nav-pills flex-column">
216 |           <li class="nav-link">ファイル共有</li>
217 |           <li class="nav-item">
218 |             <a class="nav-link" href="details/net-use.htm" target="mainframe">net use</a>
219 |           </li>
220 |         </ul>
221 | 
222 |         <ul class="nav nav-pills flex-column">
223 |           <li class="nav-link">痕跡の削除</li>
224 |           <li class="nav-item">
225 |             <a class="nav-link" href="details/sdelete.htm" target="mainframe">sdelete</a>
226 |           </li>
227 |           <li class="nav-item">
228 |             <a class="nav-link" href="details/timestomp.htm" target="mainframe">timestomp</a>
229 |           </li>
230 |           <li class="nav-item">
231 |             <a class="nav-link" href="details/klist-purge.htm" target="mainframe">klist purge</a>
232 |           </li>
233 |           <li class="nav-item">
234 |             <a class="nav-link" href="details/wevtutil.htm" target="mainframe">wevtutil</a>
235 |           </li>
236 |         </ul>
237 |       </nav>
238 | 
239 |       <main class="col-sm-9 offset-sm-3 col-md-10 offset-md-2 pt-3">
240 |         <div>
241 |           <!--<iframe src="overview.html" name="mainframe" frameborder="0" width="100%" height=2000px></iframe>//-->
242 |           <iframe id="newsframe" onLoad="change_frame_height(this.id)" frameborder="0" width="100%" height=5000px marginheight="0" marginwidth="0" src="overview.html" name="mainframe"></iframe>
243 |         </div>
244 |       </main>
245 |     </div>
246 |   </div>
247 |   <script>
248 |     function change_frame_height(frm) {
249 |       var contentsHeight;
250 |       var docFrame = document.getElementById(frm);
251 |       try {
252 |         contentsHeight = docFrame.contentWindow.document.body.scrollHeight;
253 |       } catch (e) {}
254 |       if (!isNaN(contentsHeight) && !contentsHeight == 0) {
255 |         docFrame.height = contentsHeight;
256 |         docFrame.scrolling = "no"
257 |       } else {
258 |         docFrame.height = 120;
259 |         docFrame.scrolling = "auto"
260 |       }
261 |     }
262 |   </script>
263 | </body>
264 | 
265 | </html>
266 | 


--------------------------------------------------------------------------------
/overview.html:
--------------------------------------------------------------------------------
 1 | <!DOCTYPE html>
 2 | <html lang="en">
 3 | 
 4 | <head>
 5 |   <meta charset="utf-8">
 6 |   <meta http-equiv="X-UA-Compatible" content="IE=edge">
 7 |   <meta name="viewport" content="width=device-width, initial-scale=1">
 8 | 
 9 |   <title>このサイトについて</title>
10 | 
11 |   <link href="css/bootstrap.min.css" rel="stylesheet">
12 | </head>
13 | 
14 | <body>
15 |   <h1>このサイトについて</h1>
16 |   <p>このサイトは、ネットワーク内部に侵入した攻撃者が悪用する可能性が高い49個のツールを実行した際に、どのようなログがWindowsに記録されるのかを調査し、まとめています。調査するログなどの対象は、以下を対象としています。 なお、下記項目の中で最もツールの実行痕跡が残るのはイベントログであることを確認しています。そのため、ここではイベントログの調査を中心にしたものになっています。
17 |   </p>
18 |   <ul class="list-unstyled">
19 |     <ul>
20 |       <li>イベントログ</li>
21 |       <li>実行履歴</li>
22 |       <li>Prefetch</li>
23 |       <li>USNジャーナル</li>
24 |       <li>MFT</li>
25 |       <li>UserAssist</li>
26 |       <li>パケットキャプチャ</li>
27 |     </ul>
28 |   </ul>
29 |   <p>また本調査の概要、使用方法などをまとめた報告書を、以下で公開しています。ツール分析結果シートを使用する際は、一度報告書をご確認いただくことをお勧めします。</p>
30 |   <p><a href="https://www.jpcert.or.jp/research/ir_research.html" target="_blank">インシデント調査のための攻撃ツール等の実行痕跡調査に関する報告書 （第2版）</a></p>
31 |   <br>
32 |   <h2>各シートの項目について</h2>
33 |   <p>各ツールの分析結果は表形式で解説しており、各項目で記載している内容について以下の通りです。</p>
34 | <table class="table">
35 |   <thead class="thead-inverse">
36 |     <tr>
37 |       <th>項目</th>
38 |       <th>内容</th>
39 |     </tr>
40 |   </thead>
41 |   <tbody>
42 |     <tr>
43 |       <th>ツール概要</th>
44 |       <td>ツールについての説明およびツールの攻撃時における想定利用例について記載</td>
45 |     </tr>
46 |     <tr>
47 |       <th>ツール動作概要</th>
48 |       <td>ツールを使用する際の権限、通信方式、関連するサービスについて記載</td>
49 |     </tr>
50 |     <tr>
51 |       <th>ログから得られる情報</th>
52 |       <td>デフォルト設定（標準設定）および監査ポリシーの設定およびSysmonがインストールされた状態（追加設定）でツール実行時に得られるログの概要を記載</td>
53 |     </tr>
54 |     <tr>
55 |       <th>実行成功時に確認できる痕跡</th>
56 |       <td>ツールの実行が、成功したことを確認する方法を記載</td>
57 |     </tr>
58 |     <tr>
59 |       <th>実行時に記録される主要な情報</th>
60 |       <td>対象のイベントログやレジストリ、USNジャーナル、MFTなどで記録される調査に活用できる重要な情報を記載（すべての記録される情報を記載しているわけではない）</td>
61 |     </tr>
62 |     <tr>
63 |       <th>詳細</th>
64 |       <td>「実行時に記録される主要な情報」には含まれていない記録されるすべてのログについて記載</td>
65 |     </tr>
66 |     <tr>
67 |       <th>備考</th>
68 |       <td>その他に記録される可能性があるログや検証時に確認した事項について記載</td>
69 |     </tr>
70 |   </tbody>
71 | </table>
72 |   <br>
73 |   <h2>注意点</h2>
74 |   <p>Windowsの標準設定では調査のために十分なイベントログを取得できません。そのため本調査では、次の設定をした場合に記録されるログを調査しています。</p>
75 |   <ul class="list-unstyled">
76 |     <ul>
77 |       <li>監査ポリシーの有効化</li>
78 |       <li>Sysmonのインストール</li>
79 |     </ul>
80 |   </ul>
81 |   <p>監査ポリシーの有効化方法やSysmonのインストール方法については、<a href="https://www.jpcert.or.jp/research/ir_research.html" target="_blank">レポート</a>をご覧ください。</p>
82 |   <br>
83 |   <footer class="footer">
84 |     <div>
85 |       <p class="text-center">Copyright © 2017 JPCERT/CC All Rights Reserved.</p>
86 |     </div>
87 |   </footer>
88 | </body>
89 | 
90 | </html>
91 | 


--------------------------------------------------------------------------------
/tool-list.html:
--------------------------------------------------------------------------------
  1 | <!DOCTYPE html>
  2 | <html lang="en">
  3 | 
  4 | <head>
  5 |   <meta charset="utf-8">
  6 |   <meta http-equiv="X-UA-Compatible" content="IE=edge">
  7 |   <meta name="viewport" content="width=device-width, initial-scale=1">
  8 | 
  9 |   <title>分析ツール一覧</title>
 10 | 
 11 |   <link href="css/bootstrap.min.css" rel="stylesheet">
 12 | </head>
 13 | 
 14 | <body>
 15 |   <h1>分析ツール一覧</h1>
 16 |   <table class="table">
 17 |     <thead class="thead-inverse">
 18 |       <tr>
 19 |         <th>カテゴリ</th>
 20 |         <th>ツール</th>
 21 |         <th>説明</th>
 22 |       </tr>
 23 |     </thead>
 24 |     <tbody>
 25 |       <tr>
 26 |         <th rowspan="8">コマンド実行</th>
 27 |         <td><a class="nav-link" href="details/PsExec.htm" target="mainframe">PsExec</a></td>
 28 |         <td>リモートホスト上でコマンドを実行する</td>
 29 |       </tr>
 30 |       <tr>
 31 |         <td><a class="nav-link" href="details/wmic.htm" target="mainframe">wmic</a></td>
 32 |         <td>Windowsのシステム管理に使用する</td>
 33 |       </tr>
 34 |       <tr>
 35 |         <td><a class="nav-link" href="details/schtasks.htm" target="mainframe">schtasks</a></td>
 36 |         <td>指定した時刻にタスクを実行する</td>
 37 |       </tr>
 38 |       <tr>
 39 |         <td><a class="nav-link" href="details/wmiexec-vbs.htm" target="mainframe">wmiexec.vbs</a></td>
 40 |         <td>Windowsのシステム管理に使用する</td>
 41 |       </tr>
 42 |       <tr>
 43 |         <td><a class="nav-link" href="details/BeginX.htm" target="mainframe">BeginX</a></td>
 44 |         <td>クライアントからサーバに対してコマンドを実行をする</td>
 45 |       </tr>
 46 |       <tr>
 47 |         <td><a class="nav-link" href="details/WinRM.htm" target="mainframe">WinRM</a></td>
 48 |         <td>リモートの端末から情報を収集する</td>
 49 |       </tr>
 50 |       <tr>
 51 |         <td><a class="nav-link" href="details/WinRS.htm" target="mainframe">WinRS</a></td>
 52 |         <td>リモートホスト上でコマンドを実行する</td>
 53 |       </tr>
 54 |       <tr>
 55 |         <td><a class="nav-link" href="details/BITS.htm" target="mainframe">BITS</a></td>
 56 |         <td>バックグラウンドでファイルを送受信する</td>
 57 |       </tr>
 58 |       <tr>
 59 |         <th rowspan="16">パスワード、ハッシュの入手</th>
 60 |         <td><a class="nav-link" href="details/PwDump7.htm" target="mainframe">PWDump7</a></td>
 61 |         <td>ホスト内のパスワードハッシュ一覧を表示する</td>
 62 |       </tr>
 63 |       <tr>
 64 |         <td><a class="nav-link" href="details/PWDumpX.htm" target="mainframe">PWDumpX</a></td>
 65 |         <td>リモートホストからパスワードハッシュを取得する</td>
 66 |       </tr>
 67 |       <tr>
 68 |         <td><a class="nav-link" href="details/QuarksPWDump.htm" target="mainframe">Quarks PwDump</a></td>
 69 |         <td>ドメインアカウントおよびローカルアカウントのパスワードハッシュや、キャッシュされたパスワードを取得する</td>
 70 |       </tr>
 71 |       <tr>
 72 |         <td><a class="nav-link" href="details/Mimikatz_lsadump-sam.htm" target="mainframe">Mimikatz<br>(パスワードハッシュ入手 lsadump::sam)</a></td>
 73 |         <td>OS内に保存された認証情報を搾取する</td>
 74 |       </tr>
 75 |       <tr>
 76 |         <td><a class="nav-link" href="details/Mimikatz_sekurlsa-logonpasswords.htm" target="mainframe">Mimikatz<br>(パスワードハッシュ入手 sekurlsa::logonpasswords)</a></td>
 77 |         <td>OS内に保存された認証情報を搾取する</td>
 78 |       </tr>
 79 |       <tr>
 80 |         <td><a class="nav-link" href="details/Mimikatz_sekurlsa-tickets.htm" target="mainframe">Mimikatz<br>(チケット入手 sekurlsa::tickets)</a></td>
 81 |         <td>ログオンしているセッションのチケットを取得する</td>
 82 |       </tr>
 83 |       <tr>
 84 |         <td><a class="nav-link" href="details/WCE.htm" target="mainframe">WCE</a></td>
 85 |         <td>ホストのメモリ内に存在する、パスワードハッシュを取得する</td>
 86 |       </tr>
 87 |       <tr>
 88 |         <td><a class="nav-link" href="details/gsecdump.htm" target="mainframe">gsecdump</a></td>
 89 |         <td>SAM/ADやログオンセッションから、パスワードハッシュを抽出する</td>
 90 |       </tr>
 91 |       <tr>
 92 |         <td><a class="nav-link" href="details/lslsass.htm" target="mainframe">lslsass</a></td>
 93 |         <td>lsassプロセスから、有効なログオンセッションのパスワードハッシュを取得する</td>
 94 |       </tr>
 95 |       <tr>
 96 |         <td><a class="nav-link" href="details/AceHash.htm" target="mainframe">AceHash</a></td>
 97 |         <td>パスワードハッシュ値を取得し、ホストにログオンする</td>
 98 |       </tr>
 99 |       <tr>
100 |         <td><a class="nav-link" href="details/Find-GPOPasswords.htm" target="mainframe">Find-GPOPasswords.ps1</a></td>
101 |         <td>グループポリシーのファイルに記載されているパスワードを取得する</td>
102 |       </tr>
103 |       <tr>
104 |         <td><a class="nav-link" href="details/PowerSploit_GetGPPPassword.htm" target="mainframe">Get-GPPPassword<br>(PowerSploit)</a></td>
105 |         <td>グループポリシーに記載されている平文のパスワードとその他のアカウント情報を取得する</td>
106 |       </tr>
107 |       <tr>
108 |         <td><a class="nav-link" href="details/PowerSploit_Invoke-Mimikatz.htm" target="mainframe">Invoke-Mimikatz<br>(PowerSploit)</a></td>
109 |         <td>メモリ上にMimikatzを読み込み、起動させる</td>
110 |       </tr>
111 |       <tr>
112 |         <td><a class="nav-link" href="details/PowerSploit_Out-Minidump.htm" target="mainframe">Out-Minidump<br>(PowerSploit)</a></td>
113 |         <td>メモリ上のプロセスをダンプする</td>
114 |       </tr>
115 |       <tr>
116 |         <td><a class="nav-link" href="details/PowerMemory.htm" target="mainframe">PowerMemory<br>(RWMC Tool)</a></td>
117 |         <td>ファイルやメモリ内に存在する認証情報を取得する</td>
118 |       </tr>
119 |       <tr>
120 |         <td><a class="nav-link" href="details/WebBrowserPassView.htm" target="mainframe">WebBrowserPassView</a></td>
121 |         <td>Webブラウザに保存されているユーザー名・パスワードを抽出する</td>
122 |       </tr>
123 |       <tr>
124 |         <th rowspan="2">通信の不正中継</th>
125 |         <td><a class="nav-link" href="details/Htran.htm" target="mainframe">Htran</a></td>
126 |         <td>通信をトンネリングさせる</td>
127 |       </tr>
128 |       <tr>
129 |         <td><a class="nav-link" href="details/FakeWpad.htm" target="mainframe">Fake wpad</a></td>
130 |         <td>wpadサーバとして動作し、クライアントからの通信内容を取得・変更する</td>
131 |       </tr>
132 |       <tr>
133 |         <th>リモートログイン</th>
134 |         <td><a class="nav-link" href="details/mstsc.htm" target="mainframe">RDP</a></td>
135 |         <td>リモートデスクトップサービスが稼働しているサーバーに接続する</td>
136 |       </tr>
137 |       <tr>
138 |         <th rowspan="2">Pass-the-hash<br>Pass-the-ticket</th>
139 |         <td><a class="nav-link" href="details/RemoteLogin-WCE.htm" target="mainframe">WCE (リモートログイン)</a></td>
140 |         <td>取得したパスワードハッシュを利用し、リモートホストでコマンドを実行する</td>
141 |       </tr>
142 |       <tr>
143 |         <td><a class="nav-link" href="details/RemoteLogin-Mimikatz.htm" target="mainframe">Mimikatz (リモートログイン)</a></td>
144 |         <td>取得したパスワードハッシュを利用し、リモートホストでコマンドを実行する</td>
145 |       </tr>
146 |       <tr>
147 |         <th rowspan="3">権限昇格</th>
148 |         <td><a class="nav-link" href="details/MS14-058.htm" target="mainframe">MS14-058 Exploit</a></td>
149 |         <td>指定した実行ファイルを、SYSTEM権限で実行する</td>
150 |       </tr>
151 |       <tr>
152 |         <td><a class="nav-link" href="details/MS15-078.htm" target="mainframe">MS15-078 Exploit</a></td>
153 |         <td>指定した実行ファイルを、SYSTEM権限で実行する</td>
154 |       </tr>
155 |       <tr>
156 |         <td><a class="nav-link" href="details/SDB-UAC-Bypass.htm" target="mainframe">SDB UAC Bypass</a></td>
157 |         <td>アプリケーション互換データベース (SDB) を用いて、UACにより制御されるアプリケーションを管理者権限で実行する</td>
158 |       </tr>
159 |       <tr>
160 |         <th rowspan="3">ドメイン管理者権限<br>アカウントの奪取</th>
161 |         <td><a class="nav-link" href="details/MS14-068.htm" target="mainframe">MS14-068 Exploit</a></td>
162 |         <td>ドメインユーザーの権限を、ドメイン管理者権限に変更する</td>
163 |       </tr>
164 |       <tr>
165 |         <td><a class="nav-link" href="details/Mimikatz_GoldenTicket.htm" target="mainframe">Golden Ticket<br>(Mimikatz)</a></td>
166 |         <td>不正にKerberosの認証チケットを作成し、リモートホストに接続する</td>
167 |       </tr>
168 |       <tr>
169 |         <td><a class="nav-link" href="details/Mimikatz_SilverTicket.htm" target="mainframe">Silver Ticket<br>(Mimikatz)</a></td>
170 |         <td>不正にKerberosの認証チケットを作成し、リモートホストに接続する</td>
171 |       </tr>
172 |       <tr>
173 |         <th rowspan="8">情報収集</th>
174 |         <td><a class="nav-link" href="details/ntdsutil.htm" target="mainframe">ntdsutil</a></td>
175 |         <td>Active Directory データベースの保守に使用する</td>
176 |       </tr>
177 |       <tr>
178 |         <td><a class="nav-link" href="details/vssadmin.htm" target="mainframe">vssadmin</a></td>
179 |         <td>Volume Shadow Copyを作成し、NTDS.DITやレジストリなどのシステムファイルを抽出する</td>
180 |       </tr>
181 |       <tr>
182 |         <td><a class="nav-link" href="details/csvde.htm" target="mainframe">csvde</a></td>
183 |         <td>Active Directory上のアカウント情報をCSV形式で出力する</td>
184 |       </tr>
185 |       <tr>
186 |         <td><a class="nav-link" href="details/ldifde.htm" target="mainframe">ldifde</a></td>
187 |         <td>Active Directory上のアカウント情報をLDIF形式で出力する</td>
188 |       </tr>
189 |       <tr>
190 |         <td><a class="nav-link" href="details/dsquery.htm" target="mainframe">dsquery</a></td>
191 |         <td>Active Directoryから、ユーザーやグループなどの情報を取得する</td>
192 |       </tr>
193 |       <tr>
194 |         <td><a class="nav-link" href="details/dcdiag.htm" target="mainframe">dcdiag</a></td>
195 |         <td>ドメインコントローラーの状態を分析・調査する</td>
196 |       </tr>
197 |       <tr>
198 |         <td><a class="nav-link" href="details/nltest.htm" target="mainframe">nltest</a></td>
199 |         <td>使用しているドメインコントローラーとそのIPアドレスを取得する</td>
200 |       </tr>
201 |       <tr>
202 |         <td><a class="nav-link" href="details/nmap.htm" target="mainframe">nmap</a></td>
203 |         <td>ネットワーク調査に使用する</td>
204 |       </tr>
205 |       <tr>
206 |         <th>ローカルユーザー・グループの追加・削除</th>
207 |         <td><a class="nav-link" href="details/net-user.htm" target="mainframe">net user</a></td>
208 |         <td>ホストまたはドメイン上に、ユーザーアカウントを追加する</td>
209 |       </tr>
210 |       <tr>
211 |         <th>ファイル共有</th>
212 |         <td><a class="nav-link" href="details/net-use.htm" target="mainframe">net use</a></td>
213 |         <td>ネットワーク上で公開されている共有ポイントに接続する</td>
214 |       </tr>
215 |       <tr>
216 |         <th rowspan="4">痕跡の削除</th>
217 |         <td><a class="nav-link" href="details/sdelete.htm" target="mainframe">sdelete</a></td>
218 |         <td>ファイルを複数回上書きしてから削除する</td>
219 |       </tr>
220 |       <tr>
221 |         <td><a class="nav-link" href="details/timestomp.htm" target="mainframe">timestomp</a></td>
222 |         <td>ファイルのタイムスタンプを変更する</td>
223 |       </tr>
224 |       <tr>
225 |         <td><a class="nav-link" href="details/klist-purge.htm" target="mainframe">klist purge</a></td>
226 |         <td>保存されたKerberosチケットを削除する</td>
227 |       </tr>
228 |       <tr>
229 |         <td><a class="nav-link" href="details/wevtutil.htm" target="mainframe">wevtutil</a></td>
230 |         <td>Windowsのイベントログを削除する</td>
231 |       </tr>
232 |     </tbody>
233 |   </table>
234 | </body>
235 | 
236 | </html>
237 | 


--------------------------------------------------------------------------------