Uncoder AIのフルサマリーが脅威ハンターのためのKustoクエリアナリシスをどう強化するか

SysmonEvent | where EventID == 7 | where (ImageLoaded endswith @’\clfs.sys’ and ((Image contains @’:\Perflogs\’ or Image contains @’:\Users\Public\’ or Image contains @’\Temporary Internet’ or Image contains @’\Windows\Temp\’) or (Image contains @’:\Users\’ and Image contains @’\Favorites\’) or (Image contains @’:\Users\’ and Image contains @’\Favourites\’) or (Image contains @’:\Users\’ and Image contains @’\Contacts\’) or (Image contains @’:\Users\’ and Image contains @’\Pictures\’)))

提供されたMicrosoft Sentinelクエリは、システムモニター（Sysmon）イベントログによって捕捉された特定のシステム活動を検出するために設計されています。このクエリが達成しようとしていることの内訳は以下の通りです。

1. フィルタリングのために Event ID 7：クエリは、 EventID == 7となっているSysmonイベントをフィルタリングすることから始まります。Sysmonでは、 Event ID 7 が Image Loaded イベントに対応しており、システムが新しいモジュール（DLLのような）をメモリにロードしたことを意味します。これは一般的なイベントですが、珍しいか予期しないモジュールがロードされている場合には悪意を指摘する要因となり得ます。
2. clfs.sys のフィルタリング：
   このクエリは、ロードされたイメージ（ImageLoaded）が \clfs.sys で終わるケースを対象に、Image Loaded イベントをさらに絞り込みます。
   このファイル clfs.sys は、Common Log File System（CLFS） に関連する Windows のシステムドライバーであり、Windows 内部での一部のログ記録やデータベース処理に不可欠な存在です。
   この特定のドライバーが注目される理由は、マルウェアや他の不正なプロセスによって悪用される可能性があるためと考えられます。
3. 特定のディレクトリフィルタ：クエリは、ロードされた画像のパスに基づいていくつかのフィルタを適用します（Image）。これらのフィルタは、特定のディレクトリに位置するか、パスがそれを含む画像を探しています。具体的には、以下を探しています：

• 以下を含むパス \Perflogs\、これがパフォーマンスログに関連する活動を示している可能性があります。
• 以下を含むパス \Users\Public\、一般ユーザーディレクトリの関与を示唆しています。
• を含むパス \Temporary Internet、一時インターネットファイルを示します。
• で終わるパス \Windows\Temp\、Windowsの一時フォルダを指し、マルウェアや許可されていない活動が一般的に行われる場所です。
• ユーザーディレクトリ内でさらに具体化されたフィルタが適用されます（:\Users\）、次のサブディレクトリに焦点を当てています：\Favourites\ （異なる地域のスペリングに対応）\Contacts\
\Pictures\

これらの特定のディレクトリフィルタが示唆するのは、 clfs.sys または類似のシステムモジュールがユーザースペースの通常ではない、または潜在的に侵害された場所からロードされているのではないかと疑っていることです。これは悪意のある活動を示している可能性があり、この特定のディレクトリとサブディレクトリへの関心は、データの整合性、プライバシー、またはネットワーク内での潜在的な横移動への懸念を意味します。

本質的には、このMicrosoft Sentinelクエリは、標準外のパスからWindowsシステムドライバが疑わしくロードされるのを発見するのを目指して設計されています。特にユーザーデータ、テンポラリストレージ、または通常システムレベルの操作に関与していないかもしれない他の領域に関連しています。これにより、セキュリティチームが敏感なデータへの無断アクセスや、正当なシステム活動に紛れ込もうとする悪意のあるソフトウェアの発見および対応を助けることができます。