「Tierモデルを実装して攻撃も体験した。でも、実際に攻撃されたとき気づけますか？」
Vol.4で「攻撃者の視点」を体験しました。しかし攻撃を知っているだけでは、現場の仕事はまだ半人前です。
AD演習編の第5弾、そしてシリーズ完結編となる「イベントログで攻撃を検知・分析する」を公開しました。
今回は「防御者の視点」に戻ります。
Vol.4で自分が実行した攻撃チェーン（Kerberoasting → 横展開 → AD偵察 → DCSync）が、Windowsのイベントログにどう記録されているかを、実際に手を動かして追いかけます。
Vol.5でやること——検知フローの全体像
今回の演習は「Vol.4で残した攻撃の痕跡を、防御者としてイベントログから発見する」という一連の分析フローを体験します。
攻撃した本人だからこそ、「このログは本物の攻撃を指しているのか」を確信を持って判定できる
それがVol.5の狙いです。
イベントログ（Event Log）
Windowsが記録するシステム・セキュリティ・アプリケーションの動作履歴。攻撃者の操作もここに痕跡として残る。ただし監査ポリシーが有効化されていなければ記録されない項目も多い。Hayabusa（ハヤブサ）
日本のセキュリティエンジニアが開発したWindowsイベントログ解析OSS。大量のevtxファイルから既知の攻撃パターンを高速に検出し、タイムラインとして可視化できる。無料。
検知フローは以下の流れです。
| 章 | 検知対象 | 主なイベントID | ツール |
|---|---|---|---|
| 第0章 | 環境準備・Vol.4の攻撃チェーン再実行 | — | Hayabusaインストール・監査ポリシー設定 |
| 第1章 | イベントログ分析の基礎 | — | イベントビューアー・Get-WinEvent |
| 第2章 | Kerberoastingの痕跡 | 4769（RC4暗号化） | PowerShell・Out-GridView |
| 第3章 | 横展開（psexec）の痕跡 | 7045・ログオンイベント | PowerShell・Out-GridView |
| 第4章 | AD偵察の痕跡 | 4688（コマンドライン引数） | PowerShell・Out-GridView |
| 第5章 | DCSyncの痕跡 | 4662＋GUIDフィルタ | PowerShell・Out-GridView |
| 第6章 | 攻撃タイムライン生成 | 全イベントID統合 | Hayabusa |
| 第7章 | 防御設計のまとめ | — | — |
GUIDフィルタ
ADのオブジェクト種別やレプリケーション権限を識別する固有ID。DCSyncの痕跡は「4662＋特定GUID」の組み合わせで初めて、通常のレプリケーション操作と区別できる。
Vol.5でわかること
DCSync検知の勘所
DCSyncを検知しようとして、最初に候補に挙がるイベントIDは複数あります。しかし実際に手を動かして検証すると、記録されないケースにぶつかります。
Vol.5では実際の検証を通じて、DCSyncの痕跡が記録されるのはイベントID 4662（ディレクトリサービスのアクセス）とGUIDフィルタの組み合わせであることを確認します。
「理屈の上ではこのID」ではなく、「実際に自分の環境で記録されたのはこのIDだった」という体験は、書籍やAI生成コンテンツでは得られない実務知見です。
SACL（System Access Control List）
オブジェクトへのアクセスを監査ログに記録するかどうかを制御するリスト。監査ポリシーを有効にしただけでは記録されず、「SACL側の設定も必要になる項目がある」という現場でつまずきやすいポイントを、Vol.5では実際の失敗も含めて追体験できます。
「あのときの記憶」とログの記録を照合する体験
「あのとき svc_webapp で psexec したのは何時だっけ」——Vol.4で自分が実行した操作の記憶を手がかりに、ログを1件ずつ照合していきます。
これは実務のインシデント対応そのものです。「誰が」「いつ」「何をしたか」が分からない状態から、ログという客観的な証跡を頼りに事実を再構成する——その感覚を、自分の攻撃という一番確実な「正解データ」を使って体験できます。
Hayabusaで”点”だった痕跡が”線”に繋がる瞬間
第2〜5章まではイベントID単位で個別に痕跡を追いますが、第6章でHayabusaを使うと、それらの”点”だった痕跡が時系列の”線”として一気に繋がります。
「バラバラに見ていたログが、実は一つの攻撃チェーンだった」と可視化される瞬間は、Vol.5のクライマックスです。同時に、Hayabusaが万能ではなく「限界」があることも第6章の後半でしっかり扱います。
Vol.5の演習環境
Vol.1〜4の環境をそのまま使用します。追加のインストールはHayabusa（無料OSS）のみです。
| 役割 | OS | IPアドレス |
|---|---|---|
| ドメインコントローラー（DC01） | Windows Server 2022 | 192.168.56.10 |
| クライアント端末（CLIENT01） | Windows 11 | 192.168.56.20 |
| 攻撃者マシン（ATTACKER） | Kali Linux | 192.168.56.30 |
Hayabusaを快適に動かすため、第0章でDC01のスペック（推奨：メモリ4GB・CPU2コア）を調整する手順から始めます。
本演習に関する重要な注意事項
本書に記載の分析手法・ツール（PowerShell・Hayabusa等）は、許可なく第三者のシステムに使用することは不正アクセス禁止法違反にあたり刑事罰の対象となります。
演習は必ず以下の条件を満たす環境でのみ実施してください。
- VirtualBox上のクローズドな仮想環境であること
- ホストオンリーネットワークのみ使用し外部に接続しないこと
- 自分が管理権限を持つ環境であること
業務PC・実務環境での実施は絶対に行わないでください。
こんな方に向いています
- AD演習Vol.1〜4を完了した方（前提条件）
- 「攻撃を知る」だけで終わらせず、「検知する」力まで身につけたい方
- Get-WinEvent・Out-GridViewを実務レベルで使いこなしたい方
- Hayabusaに興味はあるが触ったことがない方
- インシデント対応の基本的な考え方を、実体験を通じて理解したい方
Vol.5はVol.1〜4の環境を前提としています。未完了の方は先にそちらから始めることをお勧めします。
イベントログの基礎については「Windowsイベントログ調査入門」「重要なイベントID一覧」で先に概念を整理しておくとスムーズです。
AD演習編シリーズ全体のロードマップ——Vol.5で完結
Vol.5でAD演習編シリーズは完結です。「構築する」「設計する」「攻撃する」「検知する」という4つの視点を、すべて自分の手で体験する構成になりました。
| Vol | テーマ | 状態 |
|---|---|---|
| Vol.1 | VirtualBoxでAD環境をゼロから構築する | 販売中 |
| Vol.2 | OU・GPO・グループを設計して適用する | 販売中 |
| Vol.3 | 特権アカウントを設計してTierモデルを実装する | 販売中 |
| Vol.4 | 攻撃手法を体験する（Kerberoasting・DCSync） | 販売中 |
| Vol.5 | イベントログで攻撃を検知・分析する | 販売中（完結編） |
Vol.1〜5を通じて、「守れる設計」を頭でなく手で理解できる教材になったと思います。
まとめ——守る側の仕事は、痕跡を早く見つけること
攻撃者は一度の操作でドメインを制圧しません。Kerberoastingで足がかりを作り、横展開で範囲を広げ、偵察で次の標的を探し、権限昇格を繰り返す——このプロセスには必ず痕跡が残ります。
守る側の仕事は、完璧な防御を作ることではありません。痕跡を早く見つけて、被害を最小限に抑えることです。
今日確認すべきことは1つです。
自分の環境に、検知すべき痕跡が「見えているつもり」で見逃されていないか。
それを確かめる体験が、Vol.5にあります。
この記事の内容は、AD演習編 Vol.1〜5で実際に手を動かして体験できます。「構築する」から「検知する」まで、一本のストーリーで学べるシリーズが完結しました。
AD演習編 Vol.1〜5
完全セット
構築 → 設計 → 攻撃 → 検知
VirtualBox上にAD環境をゼロから構築し、Tierモデルの実装・Kerberoasting/DCSyncの攻撃体験・PowerShell/Hayabusaによる検知分析までを一貫して学習。スクリーンショット付き手順書・環境設定リファレンス（Excel）付き。
単体で気になる巻から始めたい方は演習コンテンツ一覧もご覧ください。
参考：イベント ログとログ記録の概要 | Microsoft Learn
コメント