SIEM on Amazon OpenSearch Serviceを活用しよう！　〜WAFログ分析の課題と勘所〜

by coconala_engineer

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Copyright coconala Inc. All Rights Reserved. 発表者紹介 3 川崎雄太　Yuta Kawasaki 株式会社ココナラシステムプラットフォーム部システムプラットフォームグループ Group Manager 2020年　株式会社ココナラ入社プロダクトインフラ・SRE領域と社内情報システム領域を担当 2021年にCSIRT立ち上げから携わり、セキュリティの企画から運用まで従事

Slide 4

Slide 4 text

一人ひとりが「自分のストーリー」を生きていく世の中を作る

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Copyright coconala Inc. All Rights Reserved. ココナラのセキュリティ組織（1/2） 8 「CSIRT」がプロダクト・社内情報システムの両方を見る ● 2021年9月にCSIRTを立ち上げた。 ○ それまではセキュリティ専門組織はなく、インフラ・SREエンジニアが手の空いたときに対応 ● 2022年9月時点で3名の組織、プロダクト・社内情報システム両方のセキュリティ施策の企画からモニタリング運用まで担当している。 ○ リソースが限られているので、優先度の高い施策を効率的に遂行することが不可欠

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright coconala Inc. All Rights Reserved. 2021年CSIRT立ち上げ時のセキュリティ課題 11 現状の認識が弱く、どの順番で何をすればよいか？が不明確 ● セキュリティの専門部署がなく、どのようにロードマップを描き、合意形成し、計画して登っていけばよいか不明確。 ● セキュリティの課題がリストアップされておらず、「もぐらたたき」で対応をしていた。 ● 自己流でログの取得だけは行っていたが、プロアクティブ・リアクティブな活用が出来ていない。 ○ 今回はここにフォーカス！

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Copyright coconala Inc. All Rights Reserved. セキュリティログ分析とは？ 18 システムのコンディション把握と打ち手の創出をすること ● 分析、検知、監査、監視など目的は様々だが、「ある時点のシステムの状態（コンディション）を把握」し、そこから「対応が必要な場合の打ち手を創出する」ことを目的としている。 ● システムの規模が多くなればなるほど、ログの量が膨大となるため、分析の仕組みが不可欠となる。

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Copyright coconala Inc. All Rights Reserved. 21 ## WAFログのサンプル {"timestamp":1660500016184,"formatVersion":1,"webaclId":"arn:aws:wafv2:xxxxxxxxxx:x xxxxxxxxxxx:regional/webacl/coconala-xxx-xxx/fa1c1322-be20-40b4-bd60-57a76114df6 5","terminatingRuleId":"Default_Action","terminatingRuleType":"REGULAR","action":"ALL OW","terminatingRuleMatchDetails":[],"httpSourceName":"ALB","httpSourceId":"xxxxxxxx xxxx-app/coconala-xxxxxxxxx/62e94fe4ea5bbd7d","ruleGroupList": 〜〜中略〜〜 "requestHeadersInserted":null,"responseCodeSent":null,"httpRequest":{"clientIp":"xxx.xx x.xxx.xxx","country":"JP","headers":[{"name":"host","value":"coconala.com"},{"name":"acc ept","value":"application/octet-stream,image/x-icon,image/jpg,image/jpeg,image/png,ima ge/x-win-bitmap,image/ico,image/x-bmp,image/tiff,image/gif,image/bmp,image/x-xbitmap ,binary/octet-stream,image/x-ms-bmp"},{"name":"user-agent","value":"Coconala/x.xx.x (com.coconala.ios.portal; build:x.xx.x; iOS xx.x.x) 〜〜後略〜〜

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceとは？（1/2） 25 AWSサービスのログ可視化やセキュリティ分析を可能にする ● SIEMはSecurity Infomation and Event Managementの略であらゆるログの収集と一元管理を行い、相関分析による脅威検出とインシデントレスポンスをサポート。 ● オープンソースのOpenSearchとKibanaを用いて、上記を実現している。

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング（1/7） 29 日次で傾向把握と分析、過去との比較からパターン化 ● 予めAWSサービスごとのダッシュボードが準備されているため、所定のS3へログを格納するだけで、可視化・分析が可能。可視化したデータを日次で分析。 ○ クロスアカウントのS3レプリケーションで実現 ● ココナラは国内を中心にサービスをしているため、国内・海外のIPアドレスによるアクセス状況 / ブロック状況 / エラー発生状況などをモニタリングする。

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceでのモニタリングの効果 39 2022年からモニタリング運用をローンチ、効果は上々 ● WAFのブロックルールに合致しない悪意のある or お行儀の悪いアクセスをしているIPアドレスを30以上捕捉し、ブロックを実施。 ○ 累計1,000万回以上のアクセスをブロックし、正規のユーザーのアクセスを守っている ● また、AWS WAF Bot Controlを並用し、botのアクセス状況（例えば、20%以上はbotアクセス）を把握。 ○ 詳細はAppendix参照

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Copyright coconala Inc. All Rights Reserved. ココナラが採用したアプローチ（1/2） 41 AWS社と定例MTGを設けることで、検討の加速度を上げる ● ココナラではAWS社と月例会や個別テーマの定例を設けており、その1つが「セキュリティ」をテーマにしたものであった。 ● その中で「Well−Architectedツール」のレビューも実施してもらった。 ○ 「SEC4.セキュリティイベントをどのように検出し、調査していますか？」がWAFログ分析

Slide 42

Slide 42 text

Copyright coconala Inc. All Rights Reserved. ココナラが採用したアプローチ（2/2） 42 SIEM on Amazon OpenSearch Serviceの個別ハンズオン実施 ● 1day / 3時間のハンズオンを個別に実施。 ○ ココナラの参加者はCSIRTとインフラ・SRE ● 以下のワークショップコンテンツに従って、環境構築から模擬運用まで実践することで、PoC工数・期間を省き、本格運用を開始。 ○ https://catalog.us-east-1.prod.workshops.aws/works hops/60a6ee4e-e32d-42f5-bd9b-4a2f7c135a72/en- US/01-introduction

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Copyright coconala Inc. All Rights Reserved. 今後のテーマ（1/2） 44 一度、導入して終わりではなく、継続したリファクタリングを行う ● 攻撃は日々進化しているため、防御策も日々チューニング / リファクタリングを行う必要がある。 ○ ソリューションは「導入する」よりも「導入後の運用」が重要 ○ 「リアクティブ」だけでなく、「プロアクティブ」な仕掛けが重要

Slide 45

Slide 45 text

Copyright coconala Inc. All Rights Reserved. 今後のテーマ（2/2） 45 経営層にセキュリティ対策の必要性・効果を理解してもらう ● セキュリティ強化を進めていくためには、経営層の理解が不可欠。 ○ 「インシデント発生時の対応費」＞「セキュリティ対策費」という構図を理解してもらい、経営層と一緒にセキュリティ対策を進めていく ● 予算は限られるので、効率的・効果的に対策を進めることが重要。

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Copyright coconala Inc. All Rights Reserved. まとめ 47 WAFログ等からプロアクティブなアクションを創出、周りを巻き込む ● WAFログの内容を正しく理解すればリアクティブ / プロアクティブなセキュリティ対策を実現可能。 ● AWS社が保持している膨大なノウハウを積極的に活用し、二人三脚であるべき姿へ着実に登っていくことが効率的かつ効果的。 ● 経営層にセキュリティの重要性を認識してもらう。

Slide 48

Slide 48 text

Slide 49

Slide 49 text

Slide 50

Slide 50 text

ユーザーのストーリーをテクノロジーでサポートするエントリーお待ちしてます！ coconala engineer 採用 https://coconala.co.jp/recruit/engineer

Slide 51

Slide 51 text

Fin

Slide 52

Slide 52 text

Slide 53

Slide 53 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceの導入時に参考にした資料 53 ● SIEM on Amazon OpenSearch Serviceのリポジトリ ○ https://github.com/aws-samples/siem-on-amazon-op ensearch-service/blob/main/README_ja.md ● AWS社のハンズオン資料 ○ https://speakerdeck.com/prog893/startup-dot-fm-eas ier-log-analysis-with-siem-on-amazon-elasticsearch- service

Slide 54

Slide 54 text

Copyright coconala Inc. All Rights Reserved. ココナラのユーザーとボットのアクセス割合（ AWS WAF Bot Controlの活用） 54 AWS WAF Bot Controlでモニタリングしたところ、23.5%のアクセスがボットによるもの。（無償の範囲で確認可能）ボットが「正常なクローラー」なのか「悪意のあるボット」なのか、などを識別をしてくれる。

Slide 55

Slide 55 text

Slide 56

Slide 56 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたモニタリング 56 ● リクエスト数の増減の確認 ○ ココナラは20:00 - 24:00ごろがアクセス数がピークとなり、深夜はアクセス数が下がる ● 普段と異なる波形を示している場合、WAFログ / ELBログを突き合わせて、深堀り・傾向分析を実施 ○ アクセスしているパスの妥当性 ○ 単位時間あたりにアクセスしている回数の妥当性 ○ その他攻撃のようなアクセスをしていないか？など