#概要
vistaにedrを構築する。
構想編。
#EPPとEDR
EPPは、Endpoint Protection Platformでマルウェアを検知し、自動的に駆除したりマルウェアが実行されないようにする機能を提供します。
EDRは、Endpoint Detection and Responseでマルウェアを検知できず感染してしまった場合、攻撃が始まる前に脅威をリアルタイムで検知し原因となっているファイルの削除などの対応法を提供したり、ログを元にマルウェアの侵入経路特定の調査に役立てたりします。
Microsoft Security Essentialsは、EPPと言い切る。
#どこまでやるの
- マルウェアの侵入を検知、
- マルウェアの特定、
- マルウェアの除去、
- マルウェアの振る舞いを時系列で取得する。
#toolは、どうする。
Windows Sysinternalsを利用する。
#Windows Sysinternalsの調査。
| コマンド | 機能 |
|---|---|
| AccessChk | 指定したユーザーやグループが、ファイル・レジストリ キー・サービスに対して持つアクセス権を確認できるコマンドラインツールです。 |
| AccessEnum | ファイル・フォルダー・レジストリキーへのアクセス権を誰が持っているかを調べるためのGUIツールです。 |
| AdExplorer、AdInsight、AdRestore | Active Directory環境の調査等に役立つツールです。 |
| Autologon | 自動ログオンを設定するためのGUIツールです。 |
| Autoruns | システムの起動時に実行されるプログラムのリスト表示、管理するツールでGUI版とコマンドライン版があります。 |
| BgInfo | システムのスペックや、マシンの各種設定情報を壁紙に表示できるツールです。 |
| BlueScreen Screen Saver | Windowsに異常が発生した際に表示されるブルー スクリーン（BSOD）をリアルに再現したスクリーンセーバーです |
| CacheSet | キャッシュサイズの上限と下限を調整し設定するGUIツールです。 |
| ClockRes | システムクロックの精度を表示するコマンドラインツールで、現在の精度を表示します。 |
| Contig | 単一ファイルを対象としたデフラグができるコマンドラインツールです。 |
| Coreinfo | プロセッサの詳細な機能を確認するコマンドラインツールです。 |
| CpuStres | CPUに意図的に負荷を掛けることができるGUIツールです。 |
| Ctrl2cap | 「Caps Lock」キーを「Ctrl」キーに置き換えるデバイスドライバーです。 |
| DebugView | ローカルまたはリモートマシン上のデバッグ出力を監視するためのGUIツールです。 |
| Desktops | 最大で 4つの仮想デスクトップを作成できるツールです。 |
| Disk2vhd | 物理ディスクを仮想ディスクに変換するGUIツールです。 |
| DiskExt | ボリュームのパーティションがどのディスクにあるかや、ディスク上のどこにあるかを表示するコマンドラインツールです。 |
| Diskmon | 物理ディスクへのアクセス状況を表示するGUIツールです。 |
| DiskView | ディスクの断片化状態や、指定したファイルのディスク上の位置を表示するGUIツールです。 |
| DU（Disk Usage ） | フォルダーごとのディスク使用量を表示するコマンドラインツールです。 |
| EFSDump | EFS (Encrypting File System)で暗号化されたファイルやフォルダーの情報を表示するコマンドラインツールです。 |
| FindLinks | ファイルインデックスと、指定されたファイルに存在するハードリンク確認するためのツールです。 |
| Handle | どのプロセスが、何のファイルを開いていいるかを確認できるコマンドラインツールです。 |
| Hex2dec | 16進数と10進数を相互に変換するためのコマンドラインツールです。 |
| Junction | シンボリックリンクを作成するコマンドラインツールです。 |
| LDMDump | LDM（論理ディスクマネージャ）データベースの内容を表示するコマンドラインツールです。 |
| ListDLLs | 現在読み込まれているDLLの情報を一覧表示するコマンドラインツールです。 |
| LiveKd | マイクロソフトのカーネルデバッガを使い、稼働中のシステムを調査するコマンドラインツールです。 |
| LoadOrd | システムに読み込まれているデバイスドライバを一覧表示するツールで、GUI版とコマンドライン版があります。 |
| LogonSessions | システム上で稼働中のログオンセッションを一覧表示するコマンドラインツールです。 |
| MoveFile | 次回起動時に、指定したファイルの移動や削除をスケジュールできるコマンドラインツールです。 |
| NotMyFault | Windowsをさまざまな方法（クラッシュ・ハングアップ・メモリリーク）で意図的に強制終了させて、BSOD（Blue Screen of Death）画面を表示させるツールで、GUI版とコマンドライン版があります。 |
| NTFSInfo | NTFSボリュームのサイズや、MFT(Master File Table）に関する情報を表示するコマンドラインツールです。 |
| PendMoves | 次回起動時に、リネーム／削除が実行される予定のファイルの一覧表示するコマンドラインツールです。 |
| PipeList | システム上の名前付きパイプの最大インスタンス数とアクティブインスタンス数を表示するコマンドラインツールです。 |
| PortMon | シリアルポートとパラレルポートの稼働状況をモニタリングするGUIツールです。 |
| ProcDump | 特定プロセスのダンプファイルを生成したり、特定プロセスを監視して、クラッシュやにハングアップした時に自動的にダンプを生成することができるコマンドラインツールです。 |
| Process Explorer | 稼働中プロセスの詳細情報を取得できるGUIツールです。 |
| Process Monitor | プロセスがアクセスしているファイルやレジストリ、ネットワークに関する情報をモニタリングするGUIツールです。 |
| PsExec | 指定したユーザーで、ローカルやリモートのプロセスを実行できるコマンドラインツールです。 |
| PsFile | リモートから開かれているシステムファイルを表示するコマンドラインツールです。 |
| PsGetSid | 指定したコンピューターやユーザーのSIDを表示するコマンドラインツールです。 |
| PsInfo | ローカルやリモートのシステム情報を表示するコマンドラインツールです。 |
| PsKill | プロセス名やIDを指定して、ローカルやリモートのプロセスを終了させることができるコマンドラインツールです。 |
| PsPing | リモートマシンの特定のTCPポートへの疎通確認や、遅延や帯域を計測するコマンドラインツールです。 |
| PsList | ローカルやリモートで実行中のプロセスやスレッドを表示するコマンドラインツールです。 |
| PsLoggedOn | ローカルやリモートのマシンにログオン中のユーザーを表示するコマンドラインツールです。 |
| PsLogList | ローカルやリモートのイベントログを表示するコマンドラインツールです。 |
| PsPasswd | ローカルやリモートのユーザーのパスワードを変更するコマンドラインツールです。 |
| PsService | ローカルやリモートのサービスの状態を表示したり、サービスを制御するコマンドラインツールです。 |
| PsShutdown | ローカルやリモートのマシンを、シャットダウンしたり再起動するコマンドラインツールです。 |
| PsSuspend | ローカルやリモートのプロセスを一時停止させたり、復帰させたりするコマンドラインツールです。 |
| PsTools | 上記に紹介している「Ps」から始まるツールをまとめたツールセットです。 |
| RAMMap | 物理メモリの使用状況を詳細に分析できるGUIツールです。 |
| RegDelNull | レジストリエディターから削除できないキーを、削除するためのコマンドラインツールです。 |
| Reghide | 特定のレジストリキーを、レジストリエディターなどから開くことができないようする方法を紹介しているコマンドラインツールです。 |
| RegJump | 特定のレジストリパスを開いた状態でレジストリエディターを起動するコマンドラインツールです。 |
| RU（Registry Usage） | 指定されたレジストリキーのレジストリスペース使用量を表示するコマンドラインツールです。 |
| SDelete | 米国防総省の、削除と消去に関する規格「DOD 5220.22-M」を満たした方法で、安全にファイルやフォルダーを削除するコマンドラインツールです。 |
| ShareEnum | ネットワーク上の共有フォルダーの状況を表示するGUIツールです。 |
| ShellRunas | ファイルの右クリックメニューに、プログラムを別のユーザーで実行する機能を追加するツールです。 |
| Sigcheck | 指定したファイルのバージョン情報やデジタル署名などを表示するコマンドラインツールです。 |
| Streams | NTFSの代替データストリーム情報を表示するコマンドラインツールです。 |
| Strings | バイナリファイル内のASCIIまたはUnicode文字を表示するコマンドラインツールです。 |
| Sync | ディスクキャッシュ上のデータを、強制的にフラッシュ ( ディスクへの書き込み ) するコマンドラインツールです。 |
| Sysmon | Windows起動直後からシャットダウンシーケンスの最終段階までの、さまざまなアクティビティをイベントログに記録するツールです。 |
| Testlimit | メモリに意図的に負荷を掛けることができるコマンドラインツールです。 |
| TCPView | ネットワークの接続状況をリアルタイムで確認するGUIツールです。 |
| VMMap | 特定プロセスへの仮想メモリと物理メモリの割り当て状況を表示するGUIツールです。 |
| VolumeId | FAT／NTFSドライブのボリュームラベルを設定するコマンドラインツールです。 |
| Whois | 指定されたドメイン名や IP アドレスの登録者などの情報を、レジストリやレジストラが提供する Whois サーバーへ照会するためのコマンドラインツールです。 |
| WinObj | オブジェクトマネージャの名前空間を表示するGUIツールです。 |
| ZoomIt | デスクトップ画面の拡大表示や、画面への文字や図の書き込みが可能な描画ツールを備えたGUIツールです。 |
#どれを使う。
- 不審な自動起動項目を探す
autoruns - 不審なプロセスを探す
Process Explorer - 不審な通信を探す
tcpview - 時系列で探す
sysmon
#どこにある。
以上。