━━━━━━━━━━━━━━━━━━━━━━ AD演習編 Vol.5 攻撃ログの検知・分析（PowerShell・Hayabusa） （+ スクリーンショット付き手順書） ━━━━━━━━━━━━━━━━━━━━━━ 「Tierモデルを実装して、攻撃も体験した。 ——でも、実際に攻撃されたとき、気づけますか？」 Vol.4で体験した攻撃チェーン（Kerberoasting・横展開・DCSync）は、 Windowsのイベントログに確実な痕跡を残しています。 Vol.5では「防御者の視点」に切り替え、 自分が実行した攻撃がどのログに、どのような形で残っているかを PowerShell・Out-GridView・Hayabusa の3つのツールで追いかけます。 ■ この教材でできること Vol.4で構築した攻撃チェーンの痕跡を、 イベントログから段階的に検知・分析できます。 ・Kerberoasting の痕跡を 4769 の RC4 暗号化で発見する ・psexec による横展開の痕跡を 7045 で発見する ・AD 偵察コマンドの実行痕跡を 4688 で発見する ・DCSync の痕跡を 4662 の GUID フィルターで発見する ・Hayabusa で攻撃チェーン全体をタイムラインで可視化する ■ 対象者 ・AD演習編 Vol.1〜4を完了した方 ・「どのログを見ればいいかわからない」と感じている方 ・PowerShell でイベントログを分析する方法を学びたい方 ・Hayabusa を使ったフォレンジック分析に興味がある方 ・実務でインシデント対応の初動調査を担当している方 ■ 教材の特徴 ・全手順にスクリーンショット付き ・詰まりやすい箇所のトラブルシューティング収録 ・有料ツール・クラウド環境不要 　（Vol.1〜4の環境＋無料のHayabusaを使用） ・実機検証済みの Properties インデックスを掲載 　（4769・4662・4688 の正確なフィールド対応表） ・「なぜそのログが記録されるのか」を丁寧に解説 ・Vol.1〜5 シリーズの完結編 ■ 前提条件 AD演習編 Vol.1〜4が完了していること （攻撃チェーン実施済み・スナップショット取得済みの状態） ■ 動作環境 推奨：RAM 16GB以上 / ストレージ空き100GB以上 　　　CPU 4コア以上（VT-x / AMD-V 有効） 最低：RAM 14GB / ストレージ空き80GB / CPU 2コア ※ DC01 のメモリを 4GB に増設する手順を第0章に収録しています ■ 収録内容 第0章：Vol.5 の環境準備 　DC01 のメモリ・CPU 変更（4GB・2コア推奨）・ 　Hayabusa のインストール・ルール更新・ 　DC01・CLIENT01 の監査ポリシー有効化・ 　CLIENT01 へのプロセス作成監査・コマンドライン記録設定・ 　Vol.4 の攻撃チェーン再実行・evtx ファイルの保存 第1章：イベントログ分析の基礎 　Windows イベントログの構造・種類・読み方・ 　イベントビューアーの操作・evtx エクスポート手順・ 　Get-WinEvent・Out-GridView の基本的な使い方・ 　Vol.4 攻撃チェーンとイベントID の全体マップ 第2章：Kerberoasting の痕跡を検知する 　イベントID 4769 の見方・Properties インデックス・ 　PowerShell で RC4 暗号化（EncryptionType=23）のみを抽出・ 　Out-GridView で svc_webapp への不審なチケット要求を特定・ 　対策：gMSA・AES 強制・強力なパスワード 第3章：横展開（psexec）の痕跡を検知する 　イベントID 7045 の見方（impacket-psexec のランダム名の仕様）・ 　CLIENT01・DC01 のシステムログから不審なサービス作成を特定・ 　4672（特権ログオン）で adm_tier0 の DC01 侵入を確認・ 　対策：LAPS・SMB 制限・Tier モデル 第4章：AD 偵察の痕跡を検知する 　イベントID 4688 の見方・監査ポリシーの設定が必要な理由・ 　whoami・nslookup・net group の実行痕跡を CommandLine で特定・ 　対策：グループ名の難読化・4688 監視 第5章：DCSync の痕跡を検知する 　イベントID 4662 の見方・DCSync 固有の GUID・ 　GUID フィルター（1131f6ad）で adm_tier0 の操作を特定・ 　Out-GridView での確認方法（%%7688 の表示の意味）・ 　対策：レプリケーション権限の最小化・MFA 第6章：Hayabusa で攻撃タイムラインを生成する 　wevtutil で evtx を収集・Hayabusa で全 evtx を一括解析・ 　タイムライン CSV を Out-GridView で分析・ 　crit・high アラートから攻撃チェーンの核心を把握・ 　3つのツールの役割分担と実務での使い方 第7章：防御設計のまとめ 　Vol.4 攻撃チェーン全体の防御策一覧・ 　「設計による防御」と「ログによる検知」の両輪・ 　Vol.1〜5 の総まとめ・実務への応用 おわりに・トラブルシューティング集 ■ シリーズ構成 Vol.1 VirtualBoxでAD環境をゼロから構築する 　→ https://noruta.booth.pm/items/8283965 Vol.2 OU・GPO・グループを設計して適用する 　→ https://noruta.booth.pm/items/8351609 Vol.3 特権アカウントを設計してTierモデルを実装する 　→ https://noruta.booth.pm/items/8448887 Vol.4 攻撃手法を体験する（Kerberoasting・DCSync） 　→ https://noruta.booth.pm/items/8547723 Vol.5 攻撃ログの検知・分析（Hayabusa）◀ 本書 ■ シリーズまとめ購入 Vol.1〜5 の完全セットはこちら（¥4,980） https://noruta.booth.pm/items/8662037 ■ 運営者 infra-sec-lab.com｜ノルタ 「守れる設計を、現場に」をコンセプトに 若手インフラエンジニア向けの実務セキュリティ情報を 発信しています。