▼Mandiant Advantageのご紹介

今回ご紹介するのはMandiant Advantageです。これは、FireEyeがもっている脅威インテリジェンスを閲覧できるプラットフォームとなっており、APT攻撃グループや使用されているマルウェアの情報が参照いただけます。今回は実際にポータル上で閲覧可能な情報や活用方法をご紹介します。

また、Mandiant Advantageの一部の機能においては無償でお試しいただけます。無償版登録手順を【こちらから】公開していますので、興味がある方はぜひ登録をお願いいたします。

それでは、ポータルの画面紹介に移ります。

DashBoard

ダッシュボードでは、世界中でアクティブに観測されている攻撃者グループやマルウェア、脆弱性情報などが表示されています。最新のトレンドをひと目で見られるような作りになっています。

攻撃者詳細情報

攻撃者の詳細な解説、背後に潜んでいる国家、関連グループ、ターゲットにしている産業情報やその際に使う攻撃手法が記載されています。このページからMITRE ATT&CKのフレームに当てはめた攻撃手法の解説や対策に必要なIoC情報も得ることができます。

マルウェアダッシュボード

攻撃に使われるマルウェアについて、世界中のトレンドやマルウェアのサマリーが閲覧でき、FireEye独自レポートも閲覧可能です。

マルウェア詳細情報

詳細ページではそのマルウェアを利用する攻撃者グループや狙われる対象などが把握でき、対策としてIoCやYARAルールも取得可能です。

攻撃に使用されるMITRE ATT&CK

攻撃者グループやマルウェアに応じたMITRE ATT&CKの情報が表示されます。攻撃のフェーズに合わせた情報が把握できます。

Mandiant Advantageでは、攻撃者グループやマルウェアについて詳細だけでなく対策まで閲覧できます。ここからは、実際にプラットフォーム上の情報を元にどのようにセキュリティ対策に活用できるのかを説明します。

Mandiant Advantageから得られる情報を元にその活用方法をご紹介します。今回ご紹介するのは、IoCとYARAルールによる攻撃者やマルウェアの対策になります。IoCやYARAルールとは以下のようなものになります。

• IoC（Indicator of Compromise）
  侵害にあった際の指標を示すIoCですが、活用方法として脅威ハンティングにあります。脅威ハンティングとは、EDR製品が検出したアラートなどを元に対応する方法などとは異なり、SOCチームなど運用者が能動的に侵害を調査する際に役立てられます。
  
  
• YARAルール
  マルウェアを解析するためのルールとなり、ファイルのハッシュ値や実行されるコマンドなどの条件を満たした場合、特定のマルウェアだと判定するためのルールになります。

それぞれを実際にポータルから確認してみましょう。

IoC（Indicator of Compromise）

攻撃者グループFIN11による侵害があった際にそれを検出できるためのIoCを確認しています。
まずはポータル上のFIN11からIndicatorsタブを開きます。

ここには、FIN11が攻撃の際に利用するIPアドレスやファイルのハッシュ値、ドメインの情報があります。

右上のIndicatorsをクリックすることで、IoCをダウンロードできます。

ダウンロードされたIoCは以下です。

IoCの中身は、ハッシュ値やドメインなどのタイプと実際の値に区切られており、これをSIEMに取り入れることでIoCの情報が環境内に存在しているのかを調査でき、脅威ハンティングに役立てるための重要な手がかりとなります。

YARA Rule

続いて、YARAルールです。マルウェアの詳細情報ページからYARAルールタブへ遷移します。

タブをクリックすることで、マルウェアの検出に利用できるルールの閲覧とダウンロードが可能になります。

アイコンをクリックするとYARAルールを示す拡張子yarファイルをダウンロードできます。

今回は、他社製品に取り込むことでマルウェアを検出できるようにカスタマイズすることを想定し、Fortinet社のFortiSandBoxにMandiant Advantageから入手したYARAルールをインポートしました。
以下はFortiSandBoxの管理画面からスキャンする際に利用できるYARAルールの設定画面を表示しています。

取り込む際も、ファイルを指定した後にインポートするだけなので簡単に行うことができます。

YARAルールの取り込みが完了しました。YARAルールの取り込むことによって、マルウェア「BADRABBIT」の検出が他社製品のサンドボックスでも可能になりました。

今回は、活用例としてIoCとYARAルールを紹介しました。今回ご紹介したサンドボックスへの取り込みは1例に過ぎなく、セキュリティ製品に複数のベンダーの脅威インテリジェンスを取り込むことで、それぞれが持っている検知の仕組みをさらに有効活用できます。