SIEMを利活用した信頼性向上プロセスと実践

「Cloud Operator Days 2025 クロージングイベント」の登壇資料。
https://cloudopsdays.com/closing/

Transcript

1. Copyright coconala Inc. All Rights Reserved. SIEMを利活用した 信頼性向上プロセスと実践 株式会社ココナラ 川崎 雄太 2025/09/05 Cloud Operator Days Tokyo 2025 クロージングイベント
2. Copyright coconala Inc. All Rights Reserved. 自己紹介 2 川崎 雄太　Yuta Kawasaki @yuta_k0911 株式会社ココナラ システムプラットフォーム部 部長 Dev Enablingグループ Group Manager 株式会社ココナラテック 執行役員 情報基盤統括本部長 SRE / 情シス / セキュリティ領域のEM AWS Community Builder（Security）
3. Copyright coconala Inc. All Rights Reserved. 3 ココナラの事業内容
4. Copyright coconala Inc. All Rights Reserved. まずは導入として・・・ 2024年の年末はDDoS攻撃による システム障害が多かった ですよね😥 SREのプラクティス × セキュリティ に ついてお話するので、このセッションが 対策の一助になると嬉しいです！😁 4
5. Copyright coconala Inc. All Rights Reserved. 5 Agenda ココナラで抱えていたセキュリティの課題 セキュリティログ分析へのアプローチ SIEMの導入効果 今後の取り組み 2 1 3 4
6. Copyright coconala Inc. All Rights Reserved. ココナラで抱えていたセキュリティの課題 Chapter 01 6
7. Copyright coconala Inc. All Rights Reserved. セキュリティ対策体制がどうしても脆弱になりがち 7 プロダクトセキュリティ専門組織が不在 　プロダクトプラット フォームグループ 情報システム グループ インフラ・ SREチーム （5名） CSIRTチーム （2名） CITチーム （5名） - AWSアカウント分離 - IAMロール整備 - 攻撃対策ソリューショ ン導入 - アクセス権限精緻化 - 新デバイス / OS検証 ・導入 - アクセス権限精緻化 ※SREチームがセキュリ ティ業務を兼務している企 業は少なくない！
8. Copyright coconala Inc. All Rights Reserved. リスクアセスメントをしていても、全方位に対応するのは難しい 8 「外部脅威」に対する対策の弱さを感じていた 2021年の分析で、対 策度合いを数値化し、 数値が小さい＝優先度 高と定義。 たとえば、この時点で は「DDoS攻撃」の対 策が弱みと認識はし ていたが対策は …
9. Copyright coconala Inc. All Rights Reserved. 攻撃にさらされる機会は増える一方で 目覚ましい対策は打てておらず …😢 他社の事例を見たり、ベンダーと 相談して、気づいたことが・・・💡 突然ですが、「セキュリティログ分析」 に取り 組んでいますか？🤔 9
10. Copyright coconala Inc. All Rights Reserved. セキュリティログ分析をする ↓ 攻撃の痕跡・予兆を見つける ↓ プロアクティブな対策を講じる ↓ これって信頼性向上だし、リアクティブを 減らす＝生産性向上では！？ 💪 10
11. Copyright coconala Inc. All Rights Reserved. セキュリティログ分析へのアプローチ Chapter 02 11
12. Copyright coconala Inc. All Rights Reserved. セキュリティログ分析とは？ 12 システムのコンディション把握と打ち手の創出をすること 分析、検知、監査、監視など目的は様々だ が、「ある時点のシステムの状態（コン ディション）を把握」し、そこから「対応 が必要な場合の打ち手を創出する」 ことを目的としている。 システムの規模が大きくなればなるほど、ログ の量が膨大となるため、分析の仕組みが 不可欠となる。
13. Copyright coconala Inc. All Rights Reserved. では、どうやって 「セキュリティログ分析」をするか？🤔 1.人に読みやすくない 😵 →情報量が多すぎる＆相関関係がわかりにくい 2.ログの量が膨大 😵 →WAFログだけで150GB以上/日 13
14. Copyright coconala Inc. All Rights Reserved. 仕組みが必要なら「SIEM」のツールを使ってみよう！ 14 「SIEM」はセキュリティ領域でのログやイベント管理のこと 以下の3つが目的。 1. 脅威の早期検出 2. 監査とフォレンジクス 3. コンプライアンス SIEMのツールは複数存在し ており、ココナラは AWS環 境で動作している ため、次 ページの2択で比較を行った。
15. Copyright coconala Inc. All Rights Reserved. SIEMの手段比較 15 無計画に使うとコストがかかるが、容易性の高さで決めた SIEM on Amazon OpenSearch Service S3 + Athena メリット 可視化・モニタリングが容易 継続したモニタリング / アラート 発報にも適している コストが比較的安価 特定時点のモニタリングに適し ている デメリット 取り込むデータ量に応じて、コ ストが増加 継続したモニタリングに不向き アラート発報などの作り込みが 必要
16. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceとは？ 16 AWSが提供するログ相関分析・可視化のソリューション
17. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング（ 1/3） 17 日次で傾向把握と分析、過去との比較からパターン化 ココナラは国内を中心にサービスをしてい るため、国内・海外の IPアドレスによ るアクセス状況 / ブロック状況 / エ ラー発生状況 などをモニタリングする。 アクセス状況を見て、WAFルールの点 検などを行い、プロアクティブに攻撃 への対策を実施。
18. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング（ 2/3） 18 システム全体のアクセス状況を把握
19. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング（ 3/3） 19 アクセス状況の詳細を把握、分析
20. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたELBログのモニタリング（ 1/3） 20 日次で傾向把握と分析、攻撃の芽を早めに摘む 4xx系と5xx系のリクエストが 30秒 あたりに100回を超えた場合 に怪し いアクセスが増加したと判断し（アラート 発報）、随時セキュリティログ分析を行う 運用をしている。 特に不正なURLへのアクセスを多数確 認したら、WAFのIPアドレス拒否リス トへ追加する運用を実現。
21. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたELBログのモニタリング（ 2/3） 21 HTTPレスポンスコードの状況から攻撃の芽を特定する
22. Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたELBログのモニタリング（ 3/3） 22 IPアドレス別、国別、 UA別、URL別のアクセス状況を分析する
23. Copyright coconala Inc. All Rights Reserved. ココナラで実践しているセキュリティモニタリング運用 23 毎営業日モニタリングを実施し、アクションを創出する 毎営業日17:00時 点の情報で定点確 認（WAFログ以外 も含めて、レポート 作成） 問題があれば、 毎 営業日18:00に集 まり、確認・議論 当日〜翌日以降の アクションを決め て、チケット化 ※↑は定常運用なので、異常が発生した場合は 　アラートを発報し、随時調査しています！
24. Copyright coconala Inc. All Rights Reserved. 実際にセキュリティログ分析をしてみてわかったこと 24 意外と攻撃やお行儀の悪いアクセスは来ている 想像していたよりもお行儀の悪いアクセス ・攻撃と思われるアクセスが頻繁に来 ていた。 例えば、◯snbotがとんでもない頻度でアク セス（おそらくスクレイピング）していて、閾値 に引っかかっていた。 怪しいアクセスは「 5xx系」ではなく、 「403」で返せれば止まる（諦める）こと が大多数！
25. Copyright coconala Inc. All Rights Reserved. SIEMの導入効果 Chapter 03 25
26. Copyright coconala Inc. All Rights Reserved. システム全体の健康状態が一目瞭然になった 26 可視化とドリルダウンによる分析が可能になった 例えば、「リクエスト数の急な増 加」が発生した場合にそれが悪 意のあるアクセスなのかど うか？をダッシュボードを見 るだけで一目瞭然になっ た。 その結果、次のアクションの 意思決定を即座にできるよ うになった。
27. Copyright coconala Inc. All Rights Reserved. SRE組織がセキュリティログ分析 → 信頼性向上へのアプローチができるようになった 27 可視化 → 分析 → 改善のサイクルを回せるようになった システム全体のアクセス状況をダッシュボード 化し、ドリルダウンによって、セキュリティイン シデントの予兆検知と発生後の分析高速 化を実現した。 その結果、たとえば悪意のある IPアドレス の拒否リスト登録〜定期リファクタリング までつなげることができた。 リクエスト成功率は99.95% → 99.99%以上 を実現。
28. Copyright coconala Inc. All Rights Reserved. SRE組織とセキュリティ組織の協業 28 今まで縦割りだったものが、シナジーを創出できた もともとの目指す方向性は同じだが、手段が 違う2つの組織の協業を可能にした。 たとえば、以下を実現できた。 ・セキュリティ運用（トイルとなっていたモニタリ ング、アラート運用）をSREが効率化 ・SREの観点になかった攻撃と判断するノウハ ウの共有とそこへの対策オペレーションのスキ ルトランスファー
29. Copyright coconala Inc. All Rights Reserved. 「SRE × セキュリティ」と「セキュリティ × SRE」というキャリアの掛け算 29 キャリアの掛け算 = 複数ロールの経験は強み 複数ロールの掛け算自体が、そもそも希少 性を作り出すことができた。 たとえば、以下を実現できた。 ・SRE：DevSecOpsの実践、SRE領域以外 のトイル削減 / 運用改善 ・セキュリティ：IaCの取り組み、監視改善など のプロアクティブな運用改善 これらは汎用的に使える武器となる。
30. Copyright coconala Inc. All Rights Reserved. 今後の取り組み Chapter 04 30
31. Copyright coconala Inc. All Rights Reserved. 継続したリファクタリングの実践 31 一度、導入して終わりではなく、継続したリファクタリングを行う 攻撃は日々進化しているため、チューニング / リファクタリングが必要。 今のアーキテクチャーが最適解では無くなる ので、新たなソリューション導入検討 も必 要なアクションとなる。 ・閾値によるモニタリングの脱却 → 機 械学習による異常予測検知 ・AIOpsによる速やかな原因分析 ・・・and more！
32. Copyright coconala Inc. All Rights Reserved. サービスの特性を認識したうえで対策を講じる 32 意外と攻撃やお行儀の悪いアクセスは来ている 例えば、◯snbotがとんでもない頻度でアク セス（おそらくスクレイピング）していて、閾値 に引っかかっていた。 怪しいアクセスは「5xx系」ではなく、 「403」で返せれば止まる（諦める） ことが 大多数！ サービスの提供範囲（たとえば、国・地 域）を元にドラスティックに対策するのもあ り。
33. Copyright coconala Inc. All Rights Reserved. SREはどんどんセキュリティ領域に進出していくべき 33 キャリアの掛け算をより強みとして活かしていく 繰り返しではあるが、「キャリアの掛け算 ＝ 強み」であることは自明なので、SRE / セ キュリティといった役割・職責の垣根を良 い意味で継続して超えられるようにす る。 その結果、全員が信頼性向上とセキュリ ティ向上の意識改革ができ、改善に向 けて動ければベスト。
34. Copyright coconala Inc. All Rights Reserved. セキュリティはどんどん SRE領域に進出していくべき 34 キャリアの掛け算を〜（大事なことなので 2回） セキュリティエンジニアは「セキュリティ」を 手段として、信頼性の向上を実現 してい る。 信頼性の向上を実現する手段は複数あるの で、SREと協力したり、より良い関係性を構 築し、「サイトの信頼性を向上する仲間 との信頼性」を高めていくのも大事。
35. Copyright coconala Inc. All Rights Reserved. セキュリティログの分析👀により、 サイトの信頼性向上の糸口💡が 見つかります！！😁 Security logs analysis could be a silver bullet…?? The journey of combining a career in SRE and security has only just begun. 35
36. Fin