Windows 11のログから“攻撃に使われたツール”が分かる？ JPCERT/CCの無料分析シート：「Windows 11」と「Windows Server 2025」で検証

JPCERT/CCは、攻撃者が悪用する可能性が高いツールやコマンドについて、「Windows」に残る実行痕跡をまとめた「ツール分析結果シート」の最新版を公開した。インシデント調査にどう役立つのか。

[＠IT]

　セキュリティ機関のJPCERTコーディネーションセンター（以下、JPCERT/CC）は2026年6月11日、「ツール分析結果シート」のアップデートを発表した。2017年に公開した内容について、攻撃者の手口や利用する手段の変化を踏まえて見直した。

　ツール分析結果シートは、攻撃者が悪用する可能性が高いツールやコマンドについて、「Windows」にどのような実行痕跡（ログや実行履歴、ファイルなど）が残るかをまとめた資料だ。インシデント調査担当者が、実行された可能性があるツールやコマンドを推定する際に活用できる。

ログから“攻撃に使われたツール”はどう分かるのか

　JPCERT/CCは、新たに「Windows 11」（version 24H2）と「Windows Server 2025」で、ツールやコマンドの実行時にどのような実行痕跡が残るかを検証した。対象としたツールやコマンドは60個だ（図1、図2）。

図1、図2　調査対象のツールおよびコマンド一覧（JPCERT/CC公式ブログの内容を基に一部加工）《クリックで拡大》

　調査対象の実行痕跡には、Windowsの監査ポリシーを有効にして取得したイベントログや、システム監視ツール「Sysmon」のログがある。その他、アプリケーションの実行情報を記録する「Prefetch」ファイルや、ツールおよびコマンドの実行履歴も調査対象としている。

　JPCERT/CCによるとツール分析結果シートは、イベントログのイベントIDやファイル名、レジストリなどの情報から、実行された可能性があるツールやコマンドを逆引きする際に活用できる。例えばインシデント調査担当者が、調査で見つかった特徴的なファイル名でツール分析結果シートを検索することで、実行された可能性があるツールやコマンドを推定し、攻撃者の目的を推測できるという（図3）。

図3　ツール分析結果シートによる検索（出典：JPCERT/CC公式ブログ）《クリックで拡大》

　今回のアップデートに合わせて、JPCERT/CCは2017年に検証したツールやコマンドについても、Windowsの各バージョンで動作するかどうかを確認した。クライアントOSについてはWindows 11に加えて「Windows 7／8／8.1／10」、サーバOSについてはWindows Server 2025に加えて「Windows Server 2012 R2／2016／2019／2022」で動作の可否を確認したという。

JSONファイルも公開、活用を容易に

　JPCERT/CCは、ツール分析結果シートのJSONファイルを、ソースコードおよびファイルの共有サービス「GitHub」で公開している。JSONファイルを利用することで、ツール分析結果シートの内容を機械的に活用しやすくなる他、参照や検索も容易になるという。ツール分析結果シートおよびJSONファイルは無償で利用できる。JPCERT/CCは今後、悪用されたツールやコマンドの検知方法についても検証を進める計画だ。

• ツール分析結果シート（JPCERT/CC）
• ツール分析結果シートのJSONファイル（GitHub）