Uncoder AIの詳細サマリーを用いたSplunk検出の高速化

1. インデックスとソースのフィルタリング：クエリはindex=*で始まり、Splunk環境内のすべての利用可能なインデックスを検索します。その後、結果を「WinEventLog:*」と名付けられたソースのログのみに絞り込み、Windowsイベントログに焦点を当てていることを示します。
2. ScriptBlockTextの条件：クエリのメイン部分は一連のOR条件とともにAND演算子を使用しており、すべてScriptBlockTextに関連しています。これは、これらのイベントログ内で特定の条件に一致するPowerShellスクリプトブロック（コードスニペット）を検索していることを意味します。具体的には、Kerberos委任に関連するプロパティやフィルターの言及を探しています。
• TrustedForDelegation：この条件は、ユーザーまたはコンピューターアカウントが委任のために信頼されている場合を検索します。Kerberos環境では、この設定により、そのアカウントはユーザーを偽装し、彼らに代わってサービスにアクセスできます。
• TrustedToAuthForDelegation：前述の条件と似ていますが、制約委任シナリオに関連しており、その場合はアカウントが委任目的で認証するために信頼されています。
• msDS-AllowedToDelegateTo：この属性は、どのサービスにユーザーまたはコンピューターが委任された資格情報を提示できるのかを指定します。このクエリは、この属性の変更または言及をスクリプトブロック内で探すことで、委任パスに影響を与える可能性のある設定の変更を示します。
• PrincipalsAllowedToDelegateToAccount：この条件は、特定のプリンシパル（ユーザー、コンピューターなど）が特定のアカウントに資格情報を委任することが明示的に許可されている構成を対象としています。これは制約付委任の別の側面です。
• userAccountControlを使用したLDAPFilter：最後の条件は、userAccountControl属性が524288に設定されているアカウントを特に対象とするスクリプトブロック内のLDAPフィルターを検索します。このフラグはアカウントが委任のために信頼されていることを示し、これを修正したり検索したりすることは、Kerberos委任設定の管理や悪用の一環かもしれません。

要するに、このSplunkクエリは、Kerberos委任に関連するWindows環境内の潜在的なセキュリティ関連の活動や誤設定を検出することを目的としています。委任設定の変更を示すかもしれないPowerShellスクリプトブロックの指標を、Windowsイベントログ内で探します。これにより、攻撃者がネットワーク内を横移動したり、管理者が環境の委任構成を管理および監査したりすることが可能です。