一台の感染PCに残された攻撃痕跡の分析~」を公開しました。標的型攻撃は、従来型のセキュリティ対策では検知されにくいといわれています。標的型攻撃を受けた組織は、マルウェア感染によって、攻撃者からリモートアクセスツールを送り込まれ、それを足がかりに攻撃者は組織内ネットワークを横移動していき、感染が組織システムの奥深くまで拡がっていきます。標的型攻撃で使われるマルウェアは感染状態をそのまま保持することが多く、攻撃者が組織ネットワークから去った後も、その状態が継続されている事例がしばしば見られ、その感染期間は数年に及ぶこともあります。これらに気付くためには、感染するとどのような状態となるのか、攻撃者はどのような活動を行うのかを知っておくことが有用です。今回の分析レポートでは、J-CRATのレスキュー活動で入手した、標的型攻撃で使われるマルウェアに感染したPCに残されていた攻撃痕跡をもとに、攻撃者の挙動の推測や、攻撃過程で生成されたと思われるファイルの分析をおこない、攻撃を検知するための対策例や、調査方法例を紹介しています。攻撃痕跡は、できる限り実際の内容を紹介しており、システム管理者にとって、マルウェア感染嫌疑の際の調査項目の例になるようにしています。検知の対策例として、比較的取り組みやすいOS標準機能を中心にしており、システム構築時に考慮いただきたいログ収集のポイントもまとめています。調査方法の例は、システム管理者や感染嫌疑時に支援される事業者が利用することを想定して記載しています。調査時に必要なログは、あらかじめ適切に取得するよう準備が必要です。その準備ができているかを判断するひとつの目安として、チェックシートを付録につけています。5010005007126)。