SIEMを用いて、セキュリティログ分析の可視化と分析を実現し、PDCAサイクルを回してみた

by coconala_engineer

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright coconala Inc. All Rights Reserved. セキュリティログ分析とは？ 11 システムのコンディション把握と打ち手の創出をすること分析、検知、監査、監視など目的は様々だが、「ある時点のシステムの状態（コンディション）を把握」し、そこから「対応が必要な場合の打ち手を創出する」ことを目的としている。システムの規模が大きくなればなるほど、ログの量が膨大となるため、分析の仕組みが不可欠となる。

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Copyright coconala Inc. All Rights Reserved. セキュリティログ分析の手段比較 16 無計画だとコストが肥大化するが、容易性の高さが決め手 SIEM on Amazon OpenSearch Service S3 + Athena メリット可視化・モニタリングが容易継続したモニタリング / アラート発報にも適しているコストが比較的安価特定時点のモニタリングに適しているデメリット取り込むデータ量に応じて、コストが増加継続したモニタリングに不向きアラート発報などの作り込みが必要

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceでモニタリングしているもの 18 主には以下の4つ、随時モニタリング可能なものを拡充中 ● AWS WAF ⭐後ほど紹介します！ ● Amazon Elastic Load Balancing ⭐後ほど紹介します！ ● Amazon GuardDuty ● AWS CloudTrail

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング（1/3） 21 日次で傾向把握と分析、過去との比較からパターン化ココナラは国内を中心にサービスをしているため、国内・海外のIPアドレスによるアクセス状況 / ブロック状況 / エラー発生状況などをモニタリングする。アクセス状況を見て、WAFルールの点検などを行い、プロアクティブに攻撃への対策を実施。

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたELBログのモニタリング（1/3） 24 日次で傾向把握と分析、攻撃の芽を早めに摘む 4xx系と5xx系のリクエストが30秒あたりに100回を超えた場合に怪しいアクセスが増加したと判断し、随時セキュリティログ分析を行う運用をしている。特に不正なURLへのアクセスを多数確認したら、WAFのIPアドレス拒否リストへ追加する運用を実現。

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Copyright coconala Inc. All Rights Reserved. ココナラで実践しているセキュリティモニタリング運用 27 毎営業日モニタリングを実施し、アクションを創出する毎営業日17:00時点の情報で定点確認（WAFログ以外も含めて、レポート作成）問題があれば、毎営業日18:00に集まり、確認・議論当日〜翌日以降のアクションを決めて、チケット化 ※↑は定常運用なので、異常が発生した場合は　アラートを発報し、随時調査しています！

Slide 28

Slide 28 text

Copyright coconala Inc. All Rights Reserved. 実際にセキュリティログ分析をしてみてわかったこと 28 意外と攻撃やお行儀の悪いアクセスは来ている想像以上にお行儀の悪いアクセス・攻撃と思われるアクセスが頻繁に来ていた。例えば、◯snbotがとんでもない頻度でアクセス（おそらくスクレイピング）していて、閾値に引っかかっていた。怪しいアクセスは「5xx系」ではなく、「403」で返せれば止まることが大多数！

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Copyright coconala Inc. All Rights Reserved. 状況が見えることで、アクションが打てるようになった 31 可視化 → 分析 → 改善のサイクルを回せるようになったシステム全体のアクセス状況をダッシュボード化し、ドリルダウンによる分析・異常値のを視覚的な把握によって、セキュリティインシデントの予兆検知と発生後の分析高速化を実現した。その結果、例えば悪意のあるIPアドレスの拒否リスト登録〜定期リファクタリングまでつなげることができた。

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Copyright coconala Inc. All Rights Reserved. 継続したリファクタリングの実践 33 一度、導入して終わりではなく、継続したリファクタリングを行う攻撃は日々進化しているため、チューニング / リファクタリングが必要。怪しいアクセスを403で返されば信頼性は高まると言えるが、油断はできない。・閾値によるモニタリングの脱却 → 機械学習による異常予測検知・AIOpsによる速やかな原因分析・・・and more！

Slide 34

Slide 34 text

Copyright coconala Inc. All Rights Reserved. 新たなソリューションへの積極的なアプローチ 34 より良いソリューションを積極的にキャッチアップするセキュリティ対策ソリューションも日々進化しているので、今のアーキテクチャーや運用が最適解ではなくなるタイミングもいずれは訪れる。急にそのタイミングが訪れてあたふたしないように日々、他社事例の収集や最新ソリューションの動向を追いかけることが大事。

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Fin

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Copyright coconala Inc. All Rights Reserved. 38 ## AWS WAFログのサンプル {"timestamp":1660500016184,"formatVersion":1,"webaclId":"arn:aws:wafv2:xxxxxxxxxx:x xxxxxxxxxxx:regional/webacl/coconala-xxx-xxx/fxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx","t erminatingRuleId":"Default_Action","terminatingRuleType":"REGULAR","action":"ALLOW ","terminatingRuleMatchDetails":[],"httpSourceName":"ALB","httpSourceId":"xxxxxxxxxxx x-app/coconala-xxxxxxxxx/62e94fe4ea5bbd7d","ruleGroupList": 〜〜中略〜〜 "requestHeadersInserted":null,"responseCodeSent":null,"httpRequest":{"clientIp":"xxx.xx x.xxx.xxx","country":"JP","headers":[{"name":"host","value":"coconala.com"},{"name":"acc ept","value":"application/octet-stream,image/x-icon,image/jpg,image/jpeg,image/png,ima ge/x-win-bitmap,image/ico,image/x-bmp,image/tiff,image/gif,image/bmp,image/x-xbitmap ,binary/octet-stream,image/x-ms-bmp"},{"name":"user-agent","value":"Coconala/x.xx.x (com.coconala.ios.portal; build:x.xx.x; iOS xx.x.x) 〜〜後略〜〜

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Copyright coconala Inc. All Rights Reserved. SIEMの仕組みとAWS WAF Bot Controlを組み合わせてみた 41 Botのアクセスを深掘りし、悪意を早期発見 BotとBot以外のアクセス状況をリアルタイムに可視化。Botをカテゴライズして、状況を見ることが可能。ココナラでは、Botによるアクセスが増加した場合、攻撃の可能性もあるため、SIEM を確認する運用を実施。

Slide 42

Slide 42 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたGuardDutyのモニタリング（1/3） 42 日次で傾向把握と分析、攻撃の芽を早めに摘む ● ココナラでは、脅威発生状況（脅威の種類、IPアドレス別、国別、など）を確認・分析。 ● 脅威を行うIPアドレスはHTTPリクエストとしても攻撃を仕掛けてくる可能性があるので、AWS WAF / ELBログの状況と突き合わせを行い、こちらもWAFのIPアドレス拒否リストへ追加する運用を実現。