含まれるパスワードなので、簡単に特定できてしまいます。ワードリストに乗っているような簡単なパスワードを使用することはやめましょう。余談と反省PowerShellの痕跡は勘だったり、Hayabusaを使うとすぐに見つけてしまえるので、せっかくのISOファイルを開いたシナリオがあまり意味なくなってしまいました。実際に参加者のWriteupを見ると、ヒューリスティックにPowerShellのイベントログが残ってることを察してた人が多かったです。今回出題したテクニックは、私が以前ブログに書いたWriteupの内容と一部被っていたので、このブログを読んでた人は少し有利だったかもしれないです。blog.nflabs.jp意図せず被害者端末から攻撃者のサーバにFTPでZIPファイルをアップロードする際、コマンドをなぜか2回実行されてしまいました。その結果、pcapファイルのサイズが大きくなってしまいました。複数の知識が要求される問題でした。実際のインシデントレスポンスやフォレンジック業務でもこのように様々なスキルが必要になることがあるので、この問題を通じて参加者が様々な点で学びを得られたのであれば幸いです。明日はアドベントカレンダー最終日。Writeup賞の発表です。お楽しみに!*1:個人的な見解ですが、ログ解析の問題がほとんど出題されないのは、難易度が低く出題してもコンテストとして成り立たないからだと思っています。Blood賞が贈呈されるためか、すぐ解かれました。Blood賞が出るまで時間がかかったので、簡単すぎたかもしれません。!*3:実際のDFIRでは、漏れたパスワードを明らかにするのは稀だと思いますが、今回はコンテストということもあるので調べてもらうことにしました。*4:トリアージは元々は救急事故現場などで使われる用語で、医療や治療の優先度を見極めることです。IDについてまとめてみたこんにちは。事業推進部の鵜木です。エンジニアブログ引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。