00:00
こんばんは、Replay.fm第96回です。
こんばんはー。
うっす。
こんにちはー。
こんにちは。
2日ぶりの収録です。
はい、久しぶりですね。
お久しぶりです。
いやー、2日しかないから、特にニュースもないけど。
普通に暑いわ。なんか疲れた。
暑いね。
寝苦しい。 昨日から。
もう。
マジで寝苦しい。
なんか、こう、気持ちは元気なんだけど、あの体力が追いついてない感じしますね、普通に。
あー、なんか、ちょっと暑さの指揮地が一定を超えるとさ、もうなんか体力とかじゃない気もするんだよな。
その、なんか生命活動がもうダメになるラインを超えてる気がする。
ちょっとなんかセーブモードに入ってる感じするよね。
あー、そうそうそう。
あの、もしファン、ファンが付いてたら多分、まあ立派な人の状態というか。
あー、なるほどね。
うん、なんかそういう感覚あるわ。
うん。
いやー。
疲れたな、普通に。
なんか日傘、これなんか坂の、まあ丘か、丘の上にのマンションに住んでるんですけど、その。
丘の上の、丘の上のソーダなんですね。
丘の上のキリン、崖の上のポニョ。
そうであの、整体、整骨院か。
丘の麓にあるんで、歩いて行ってくる、行ってきたんですけど。
あの、日傘差すの。
下階にね、降りてったのね。
そう、下階にわざわざね、降りてやった。
天井のために。
降りて差し上げたの。
日傘を、日傘を差して、下階の整体院へ行ったわけですね。
でも、上からは防げてもさ、もう下からの照り返しがやばすぎてなんか。
下にも日傘差せばいいじゃん。
なんで、たまにIQ3みたいな発言するの。
下にも日傘差せばいいじゃんって何よ。
なんかさ、あのさ、中に入って転がるボールみたいなのあるじゃん。
あー、あるね。
あれの周り全部さ、アルミホイルみたいなの貼ってさ。
お前、司会が終わるんだから。
転がって行けばいいじゃん、下階まで。
いや、もう車で乗ればいいんだよな、そんな努力するんだって。
そのままなんか美輪湖まで転がってってさ、なんかプカプカすればいいじゃん。
いやー、ヤフーニュースに乗れるかもしれないね。
未確認物体、美輪湖に現わって。
いやー。
なんか名前つけてもらいそうじゃん。
なんかねっしー的な。
もう、はい、わかりました。
じゃあ、頑張ります。
絶対に、絶対に頑張らない頑張りを頑張ります。
やりますよ。
引き続き、お便りは?
お便りは?はい、はい、はい、お便りない?
ないです。
ないですね、はい。
GoogleフォームXで、あ、X見てねーな。
ま、でも多分ないでしょ。
いやー、ちょっと暑いんでね。
なんかお便りの一つも欲しいですよね、そろそろ。
03:01
涼しくなるようなお便りをね。
はい、お待ちしてます。
適当なことしか言わない、なんか機会になってるな、今日。
まあ、みんなもうそろそろわかってる。
今日、今日はじゃねーよ。
毎回だから。
今日はじゃない。
うん、エブリディー。
そんなぐらいにしよ。
エブリディータイムですよ。
なんか、多分10回に1回ぐらいの、なんか確率で出る適当なことしか言わない回だと思うけど。
あー、まあ、諸説、諸説。
諸説ある。
はい。
じゃあ諸説あるということで、はい。
今日はね、あの、夏バテなのか、まあ、たまたまだと思うんですけど、多分今までで一番期日数が少なくて、なんと1個なんで。
まあね、理論上の最小値だからね。
そうだね。
多分最初3個とかあった、3個が2、3回あったと思うんだけど、まあ今回は1個なんで、まあ。
そういうこと?
うん。
1記事の回って1回もなかったんだ、意外かも。
多分なかったと思うな、俺の記憶だと。
うん。
まあ何を隠そう、私今日記事全く読めてないからな、なんか。
まあ、お忙しい。
まあ、でもそれに、それを踏まえて思った感じかな。
なんか普通にリズム天国に忙しいですね。
すいません。
それは読めよ。
それは記事を読めよ。
すいません、リズム天国に忙しい、ごめんなさい。
スターフォックスやりながらちゃんと頑張ってるよ。
偉いな。
すいません、なんか、ごめんなさい、なんか、あの。
いやいや、いいんですよ、すいません。
はい。
無理なくやっていきましょう。
うん。
まあ、ソータが読んでくれるし、いいかな。
はい。
じゃあ、1個だけさらっと読んで、みなさんバイバイって感じですけど、
ちょっと別方面で話題だなと思って、今クスクスとしちゃったんですけど、
対話ないんですけど。
JMOCYBERSE GUILTYのブログで、
LLM発展後のEDRとの攻防、検知ロジックの解析をもたらす攻撃防御の変化という記事ですね。
で、これ何かっていうと、
LLMがもう民主化というか、攻撃者にも防御者にも等しく手に渡る時代になりましたけど、
それを踏まえた時にEDRの検知回避ですね、
アンチEDR的なところがどういう風に変わって生きうるのかみたいな部分、
どういう風に変化してるのかみたいな部分をまとめて活論じている記事という感じですね。
で、結構EDRふわっとしかわからんとか、
あと僕はそのアンチEDR的なものは概念としては知ってたけど、
具体的に何をしてそれをやるのかみたいな部分は、
例えば、Bring Your No-Go…なんだっけ?
BIO…バルナコフドライバー、BIOVDかな。
BIOVDか、そうそう。
あの辺は知ってるけど、それ以外の細かい部分は知らなかった。
結構勉強になったなという感じで紹介なんですけど、
記事の内容としてはまずEDRの仕組み、
知ってる人にとっては復習みたいな部分ですけど、
06:00
どういう仕組みで動いてますよみたいな部分と、
その仕組み、そんな仕組みで動いてるEDRに対して、
アンチEDR的な検知回避をするってことですね、要するに。
両親なんだけどEDRで検知されないとか、
ケチャ送らせるみたいな部分を攻撃者は作り込んでくるんだけど、
この部分っていうのは従来だと結構スキルのある攻撃者が
かなり時間をかけないとできないものでしたと。
この部分、そうなんだってすごい好み感だったんですけど、
なんで時間かけないとできないかっていう部分で言うと、
一つは製品のコードとかロジックは当然分かんないんで、
頑張ってリバースエンジニアリングして解析して、
挙動回避のヒントがないかっていうのをやったりとか、
そのヒントを探した上で検知回避するようなマリアを作って、
各社のEDRを手元に用意して実際に動かしてみて、
検知されないか。
検知されちゃったらどこが悪いのかっていうのをひたすら、
多分攻撃者側は攻撃者側の感とか視点とか知識に頼りながら、
試行錯誤をしていかなきゃいけない。
し、記事中に言及はなかったけど、
EDR自体もどんどんアップデートが来るものだと思うんで、
そういう部分に難しさがありますよみたいな話がありますと。
この部分がLLMの登場によって、
一つは効率化されるんじゃないか。
今言った手動で回してたフィードバックループを、
どんどんスキルなりプロンプなり工夫することで、
自動で回せるんじゃないかみたいな部分と、
また敷居が下がるという部分で、
今まではコードの知識がないとできなかった部分が、
LLMの支援によって、
ある程度スキルが低い人でもできるようになってしまうという部分の2点において、
LLM登場でこの検知回避のロジックを作り込む部分の、
温度感というか、
防御側としては捉え方を変えなきゃいけないんじゃないかという話ですね。
その後は結構具体的に、
名前を捨ててあるんですけど、
3製品手元にご用意いたしましてみたいな部分で、
そこに対して検知が基本的には01じゃなくて、
満点があってスコア付けされるという部分で、
そのスコアをどうやって下げるかみたいな部分で、
具体的に4個か5個ぐらいかな、
アンチである手法をこういうふうにすると検知を避けられているので、
やってみましょうみたいな部分を記事中に書いてあって、
その辺は結構LLMを使ってやってみたというよりかは、
結構具体的な事例の紹介という感じかなという感じで、
確かにその辺を見てみて、
僕なんか知らないものばっかりで勉強になったんですけど、
見てみるとLLMにやらせられそうだなというのは十分に、
想像できる範疇だし、
そういうところをこの記事の一緒に伝えたかったのかなという感じです。
09:00
で、じゃあどうすればいいねみたいな、
たぶん捉え方としては今までは高度な攻撃者しかいなかったのが、
敷居が下がって効率化されるんだったら、
攻撃の量が増えるかもしれないみたいな部分に対して、
どうするかというと、
もうここは基礎中の基礎というか、
多層防御で頑張りましょうと。
EDRの検知ブロックにだけ頼らない防御体制をしかないとダメだよねという部分で、
いくつか具体的な方法が書いてあって、
この辺は指定したとしていると思うので、
気になる方は記事読んでくださいという感じで割愛しますけども、
という感じですね。
なんか俺もこの領域って別に全然詳しくないんだけど、
どれぐらい、なんて言ったらいいんだろう、
環境ごとの得意性があるんだろうね。
攻撃者視点に侵入するたびに新しく、
その環境に合わせて検知を開始するようなものを作んなきゃいけないのか、
あるいは製品ごとにある程度使いましが効くものなのかというと、
どっちなのかなみたいな話。
そういえば実際の具体的な方法を見てる感じは、
割と製品に依存しない形で使い回せそうな、
多分いくつかプラクティスみたいなのがある。
そうよね。
お決まりのパターンが多分あるんだろうね、きっとね。
どうなんだろうね。
ハードルが下がるは真なんだろうなと思いつつ。
毎回作り直してるよみたいなものじゃないんだったら、
正直なんか別にこれがあるからめっちゃ攻撃されるみたいな話じゃないよなっていう気もするし。
どうなんですかね。
別筋のこの機能を使って、
記事に言及はなかったけど、
情報で見聞きしたものとして、
なんかアンチEDR製品、
アンチEDRのなんかその、
あるいは売ってんのか行動ってんのかわかんないけど、
そういうものがアンダーグラウンドの攻撃者マーケットで売られてますよみたいなやつが、
なんかたまにちょこちょこ見る気がしてて。
そういうのとか直近で見たやつとかだと、
結構その何十製品全部対応してますみたいなもの売られてますよみたいな。
買い切りとかサブスとかとかいろいろあるんだけど。
そういうマーケットが活発になっちゃう未来とかはもしかしたらあるのかなとか思うけどね。
なんかその個々人全員がなんかそれぞれでレベル回してこれをやるかと言われると、
どうなんだろうね。結構EDR回避しようとしてる時点で、
企業を狙ってたりなんだろうな、ターゲットが。
例えば何か仮想通貨狙うような攻撃者はやんない気はするから、
12:03
その辺がどうかなのかちょっとどうなんでしょうって感じかな。
あとは何か何でと思ったっけ、EDRの検知に頼んないは多分元々やらなきゃいけなかったことだと思うんだけど、
結構なんかうちはEDRってすり抜けられても、
なんか大丈夫ですって言い切るのって結構むずいよなというか。
まあ。
生きれてる会社どこであるんだろうなとかちょっとぼんやり思いながら。
厳しいよね。なんかそのそこまで生きるっていうのはなかなか簡単なことではないと思うし。
結構ね。
どんぐらい回避してくるんだろうな。
まあでもめっちゃ勉強になりました。
手法とかはね、それこそ汎用性みたいなところで言うと、
4手法か4手法だけど、この手法をやると製品Aではスコア下がったけど、製品Bではスコア上がったみたいな、
なんかそういうのあるから、やっぱ製品ごとの多少の癖とか挙動の差はあるんじゃないかなって気はしますね。
面白いですね。
またなんか、イエライさんなので、
ジェームスアイバースキーって言っちゃった、イエライスキーっていうのがあれですけど、
イエライ独自で開発してる、アンチEDR的な挙動ができるギジマリオヤみたいなのがあって、
まあロジックはもちろん控え位置だけど、それ使うとこんぐらいスコア変わるよみたいなのを書いてて、
なんかその辺はさすがというか、
だからここの記事で書いてないようないろんな知見とかがあるんだろうなっていうのはちょっと思ったりはしましたね。
ペンテストとかで使うのかな、たぶん。
そうね。
はい。
そんな感じで本日は、
14分。
短いね。
大人っぽい短さですね。
こういう週もあるでしょう。
100回に向けて盛り上げていこうぜ。
頑張る。
盛り上がる。
そうですね、はい。盛り上げていきましょう。
この短さで時間が浮いた人は、
ワールドカップの決勝でも見ましょう。
そろそろぼちぼち決勝なんですね。
来週の月曜決勝だから、
次の収録では優勝を告が決まりますね。
おお。
まあでもね、あれなんですよ。
ええ、なんか、
フランスが強すぎるっていう話にはなります。
フランスは何が強いんですか?
フランスはなんか、
僕素人なんで、
ガチ勢がいってんのを見て、
受け売りですけど、
普通にもう1チーム作れるぐらい選手層が厚すぎるっていう感じ。
15:03
他の国だったら余裕で代表トップに入るような人たちが
控えにボコスカいるみたいな感じで、
ズルやんみたいな感じらしいですね。
で、前回準優勝かな。
前回優勝がアルゼンチンなんですけど、
アルゼンチンもフランスと反対側の準決勝に残ってるんで、
同じ決勝戦もワンチャンあるそうみたいな。
アルゼンチンはメッシーが強すぎるっていうので、
大問題ですね。
メッシーいい年齢なんですけど、
走らずに確実に得点を
持ってるらしいですね。
衰えが見えなすぎて、
ガチ勢で見ると衰えてるらしいけど、
このメッシーって選手これから伸びるだろうなみたいな
ネタコメントしてる人がいっぱいいてます。
この新人やべえなみたいな。
いつまで現役なんでしょうって感じですね。
まあそんな感じでサクッと終わりましょうか。
じゃあ皆さん来週もお楽しみにしててください。
おやすみなさーい。
