13章
Hands-on-1
ここでは、イベントビューアーを使用した、イベントログの参照や検索・フィルタリング操作のハンズオンを行います。
次の２つの手順で、ハンズオンを行います。
- 他のPCから保全したイベントログファイルを参照する手順
- ライブレスポンスにより、稼働中のPCのイベントログを参照する手順
保全したイベントログファイルの参照
解析対象のイベントログファイル
保全したイベントログファイル（Security.evtx）は、演習用データの以下の相対パスに格納してあります。
s13\h1\Security.evtx
保全したイベントログの開き方
スタートメニューの検索から「イベント」「event」等を入力し、表示された「イベントビューアー」を起動して下さい。
イベントビューアーの起動後、メニューバーに表示されている「操作」を選択し、続いて「保存されたログを開く」を選択します。
ファイルの選択画面が表示されるので、上記のイベントログファイル（Security.evtx）を選択します。
「開く」ボタンをクリック後、以下のようなウィンドウが表示されるので、そのまま「OK」を選択します（「名前」「説明」には、任意のわかりやすい名称や文言を入力しても結構です）。
左サイドパネルのツリーに、「保存されたログ」という項目と、その配下に指定したイベントログファイルの名称（ここでは「Security」）が追加され、画面中央に当該イベントログファイル内のイベントが表示されます。
このイベントログファイルには、90件のSecurityイベントが記録されています。
フィルター機能の使用方法
Securityには、アカウントの認証に関連するイベントが記録されます。以下の、「アカウントのログオン成功」イベントを参照してみましょう。
- イベントID：4624 （ログオン成功）
まず、イベントビューアーのフィルター機能を利用して、イベントIDでフィルタリングします。
上記画面に「フィルター機能」として示した、右サイドパネルの「操作」メニューから 「現在のログをフィルター...」を選択して下さい。
以下のフィルター条件を設定するウィンドウが表示されます。
ウィンドウの中央にある「イベントIDを含める／除外する」の入力欄に、「4624」と入力して「OK」を選択して下さい。
以下のように、条件に一致したイベントログが抽出されます。このファイルには、「イベントID：4624」のイベントが合計で7件あります。
画面上部の一覧からイベントを選択すると、画面下部の「全般」タブに、ログオンタイプやアカウント名が表示されます。
例えば、2021年4月19日 16:19:40 に発生したログオン成功イベントは、アカウント名：user01による対話型ログオン（ログオンタイプ：2）で、他のイベントは別のアカウントや異なるログオンタイプであることが確認できます。
このようにイベントビューアーのフィルター機能を使って、簡単にフィルタリングすることができます。
クエリによる詳細なフィルター条件の指定
さらに、詳細な条件でのフィルターも設定できます。以下の3つの「AND」条件に合致するイベントの抽出フィルターを設定してみましょう。
- イベントID：4624 （ログオン成功）
- ログオンタイプ：2 （対話型ログイン）
- アカウント名：user01
再度、右サイドパネルの「操作」メニューから 「現在のログをフィルター...」を選択し、フィルター条件を設定するウィンドウを表示して下さい。そのウィンドウで、今回は「XML」タブを選択します。
画面左下の「手動でクエリを編集する」をチェックオンにすると、クエリの編集ができます。
クエリ入力欄には、初期値として、直近で実行したフィルター条件がクエリ構文化されています。この例では、イベントID「4624」を抽出するクエリ構文が入力されています。
クエリを編集して、以下のように抽出条件を追加して下さい。
[System[(EventID=4624)]]の部分を編集し、次のとおりアカウント名とログオンタイプの条件を加える[System[(EventID=4624)] and EventData[Data[@Name='TargetUserName']='user01'] and EventData[Data[@Name='LogonType']='2']]
※ 上記変更後の構文を、コピー＆ペースト（Ctrl + C → Ctrl ＋ V）で貼りつけることができます。
(参考) Advanced XML filtering in the Windows Event Viewer https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/advanced-xml-filtering-in-the-windows-event-viewer/ba-p/399761
上の図のようにクエリを編集して「OK」をクリックすると、以下のとおり、クエリ条件に合致する2件のイベントが抽出されます。
稼働中のイベントログの参照（ライブレスポンス）
続いて、ライブレスポンスにおいて、稼働中のイベントログを参照するハンズオンを行います。このハンズオンで参照するイベントログのカテゴリーは
- Microsoft-Windows-TaskScheduler （Operational）
とします。このイベントログには、タスクの登録や実行履歴が記録されます。
まず、イベントビューアーを起動して、カテゴリー「Microsoft-Windows-TaskScheduler」ー「Operational」のイベントログを開いてみて下さい。
このカテゴリーは以下の手順で開きます。
- 画面左側のツリーに表示されている 「アプリケーションとサービスログ 」を展開
- 続いて、「Microsoft」--> 「Windows」-->「TaskScheduler」-->「Operational」と順次展開
もし、「Microsoft-Windows-TaskScheduler」ー「Operational」のイベントログが「無効」となっている場合は有効化します。以下のように、左サイドパネルから「アプリケーションとサービスのログ」-->「Microsoft」--> 「Windows」-->「TaskScheduler」と順次展開し、「Operational」を右クリックして、「ログの有効化」を選択します。
次に、使用しているWindows PCでタスクを登録しましょう。
コマンドプロンプトを起動して、以下のコマンドを実行して下さい。
なお、実際にタスクを実行させて、そのイベントを参照しますので、タスクの実行時刻（/st 19:0x）には、現在から数分程度先の時刻を指定して下さい。
タスク名（例では "Tutorial"）や実行するアプリケーション（例では電卓アプリのcalc.exe）は、任意のものでも結構です。
（コマンド例）
schtasks /create /tn "Tutorial" /tr C:\Windows\System32\calc.exe /sc once /st 19:0x
（実行結果）
成功: スケジュール タスク "Tutorial" は正しく作成されました。
※ 上記コマンドをそのまま貼りつけて実行すると、開始時刻の値エラー（19:0x）になります。その場合、キーボードの↑（上矢印キー）でコマンド履歴を呼び出し、正しい形式の任意の時刻に修正して下さい。
タスクで指定した時刻になると、上記コマンド例の場合、「電卓」（calc.exe）が自動的に起動します。
指定したアプリケーションが起動してから、「Microsoft-Windows-TaskScheduler」ー「Operational」で、このタスクに関するイベントを参照してみましょう。なお、実行されたタスクのイベントが表示されていない場合は、「操作」メニューから「最新の情報に更新」をクリックして下さい。
イベントビューアーに表示された Microsoft-Windows-TaskScheduler（Operational）のイベントを、「日付と時刻」の項目名をクリックして発生日時で並べ替えます。そのうえで、タスク名（この例では「Tutorial」）をキーワードにイベントを検索しましょう。
右サイドパネルの操作メニューから「検索...」をクリックして、「検索する文字列」にタスク名（例「Tutorial」）を入力し、「次を検索」をクリックします。
検索したタスク名の登録イベント（イベントID：106）がヒットします。そこから日時を追い、当該タスクが実行されたイベントの記録をたどってみて下さい。
イベントID：200（タスクの開始）には、実行されたプログラムのファイルパスが記録されます。
この例では、C:\Windows\System32\calc.exe と記録されています。
インシデントレスポンスにおいては、マルウェアや攻撃者によって永続化や横展開に悪用されたタスク登録が、証拠隠滅のために削除されているケースがあります。その場合でも、イベントログから不審なタスク登録やタスク実行のイベントを追うことで、攻撃の痕跡を確認できる可能性があります。
問題
このハンズオンの前半で使用した、保全されたイベントログファイル（Security.evtx）から、アカウント名：user01に関する「ログオフ」イベントの発生時刻（日付は省略）を、「hh:mm:ss」の形式で回答して下さい。
- 回答例：08:15:06
※ イベントログファイルの相対パス（再掲）
s13\h1\Security.evtx
※ ログオフのイベントIDは「4634 / 4647」の2種類があります。複数のイベントIDをフィルターに入力する場合は「4634,4647」と、カンマで区切って入力して下さい。なお、フィルター設定画面で「手動でクエリを編集する」チェックボックスを有効にしたままの場合は、チェックボックスをクリックして無効にして下さい。