Microsoft Defender XDRでランサムウェア兆候を検出する高度ハンティング

Microsoftのドキュメントは、Defender XDR（およびMicrosoft Sentinel）上で実行できるadvanced huntingクエリを通じ、ランサムウェアによく見られる前段階の行動を能動的に検出する方法を示しています。対象は暗号化前に行われるプロセス停止やサービス無効化、シャドウコピーやバックアップの削除、イベントログの消去、ブート設定変更などです。

本文では、個別の兆候を検出するための具体的なKustoクエリ（KQL）例を複数提示しています。たとえばtaskkill.exeで10個以上のプロセス停止を検出するクエリ、net stopでの同様の検出、cipher.exeの/wフラグで複数ドライブを短時間に消去する操作を検出するクエリ、wevtutilで10件以上のログ消去を検出するクエリなどが示されています。

また、単発の検出だけでは誤検知が多くなるため、複数の兆候を重み付けして集約する「統合クエリ」を使い、複数の攻撃指標が同一端末に現れているかを確認して優先度の高い端末を特定する手法も紹介されています。ドキュメントは各クエリをMicrosoftのadvanced huntingエディタに直接コピーして実行することを想定しています。

注意点として、紹介されている行為の多くは正当な管理作業でも発生し得るため、同一端末で複数の兆候がそろっているかを確認することが推奨されています。また、このドキュメントへのアクセスには認証が必要であり、実行にはDefender XDR環境と適切な権限が必要です。