SREの視点で考えるSIEM活用術〜AWS環境でのセキュリティ強化〜

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright coconala Inc. All Rights Reserved. 自己紹介 2 川崎雄太　Yuta Kawasaki @yuta_k0911 株式会社ココナラ Head of Information / Dev Enabling室室長株式会社ココナラテック執行役員情報基盤統括本部長 SRE / 情シス / セキュリティ領域のEM SRE NEXT 2025のコアスタッフ 🆕 AWS Community Builders（Security）

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright coconala Inc. All Rights Reserved. プロダクトセキュリティ専門組織が不在 7 SREが兼務しているが、施策の優先度は上がりにくい　プロダクトプラットフォームグループ情報システムグループインフラ・ SREチーム（5名） CSIRTチーム（2名） CITチーム（4名） - AWSアカウント分離 - IAMロール整備 - 攻撃対策ソリューション導入 - アクセス権限精緻化 - 新デバイス / OS検証・導入 - アクセス権限精緻化 ※SREチームがセキュリティ業務を兼務している企業は少なくない！

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Copyright coconala Inc. All Rights Reserved. セキュリティログ分析とは？ 13 システムのコンディション把握と打ち手の創出をすること分析、検知、監査、監視など目的は様々だが、「ある時点のシステムの状態（コンディション）を把握」し、そこから「対応が必要な場合の打ち手を創出する」ことを目的としている。システムの規模が大きくなればなるほど、ログの量が膨大となるため、分析の仕組みが不可欠となる。

Slide 14

Slide 14 text

Copyright coconala Inc. All Rights Reserved. 仕組みが必要なら「SIEM」のツールを使ってみよう！ 14 「SIEM」はセキュリティ領域でのログやイベント管理のこと以下の3つが目的。 1. 脅威の早期検出 2. 監査とフォレンジクス 3. コンプライアンス SIEMのツールは複数存在しており、ココナラは AWS環境で動作しているため、次ページの2択で比較を行った。

Slide 15

Slide 15 text

Copyright coconala Inc. All Rights Reserved. SIEMの手段比較 15 無計画に使うとコストがかかるが、容易性の高さで決めた SIEM on Amazon OpenSearch Service S3 + Athena メリット可視化・モニタリングが容易継続したモニタリング / アラート発報にも適しているコストが比較的安価特定時点のモニタリングに適しているデメリット取り込むデータ量に応じて、コストが増加継続したモニタリングに不向きアラート発報などの作り込みが必要

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング 17 日次で傾向把握と分析、過去との比較からパターン化ココナラは国内を中心にサービスをしているため、国内・海外の IPアドレスによるアクセス状況 / ブロック状況 / エラー発生状況などをモニタリングする。アクセス状況を見て、WAFルールの点検などを行い、プロアクティブに攻撃への対策を実施。

Slide 18

Slide 18 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたELBログのモニタリング 18 日次で傾向把握と分析、攻撃の芽を早めに摘む 4xx系と5xx系のリクエストが 30秒あたりに100回を超えた場合に怪しいアクセスが増加したと判断し（アラート発報）、随時セキュリティログ分析を行う運用をしている。特に不正なURLへのアクセスを多数確認したら、WAFのIPアドレス拒否リストへ追加する運用を実現。

Slide 19

Slide 19 text

Copyright coconala Inc. All Rights Reserved. ココナラで実践しているセキュリティモニタリング運用 19 毎営業日モニタリングを実施し、アクションを創出する毎営業日17:00時点の情報で定点確認（WAFログ以外も含めて、レポート作成）問題があれば、毎営業日18:00に集まり、確認・議論当日〜翌日以降のアクションを決めて、チケット化 ※↑は定常運用なので、異常が発生した場合は　アラートを発報し、随時調査しています！

Slide 20

Slide 20 text

Copyright coconala Inc. All Rights Reserved. SRE組織がセキュリティログ分析 → 信頼性向上へのアプローチができるようになった 20 可視化 → 分析 → 改善のサイクルを回せるようになったシステム全体のアクセス状況をダッシュボード化し、ドリルダウンによって、セキュリティインシデントの予兆検知と発生後の分析高速化を実現した。その結果、たとえば悪意のある IPアドレスの拒否リスト登録〜定期リファクタリングまでつなげることができた。リクエスト成功率は99.95% → 99.99%以上を実現。

Slide 21

Slide 21 text

Copyright coconala Inc. All Rights Reserved. 「SRE × セキュリティ」と「セキュリティ × SRE」というキャリアの掛け算 21 キャリアの掛け算 = 複数ロールの経験は強み複数ロールの掛け算自体が、そもそも希少性を作り出すことができた。たとえば、以下を実現できた。・SRE：DevSecOpsの実践、SRE領域以外のトイル削減 / 運用改善・セキュリティ：IaCの取り組み、監視改善などのプロアクティブな運用改善これらは汎用的に使える武器となる。

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Copyright coconala Inc. All Rights Reserved. 継続したリファクタリングの実践 23 一度、導入して終わりではなく、継続したリファクタリングを行う攻撃は日々進化しているため、チューニング / リファクタリングが必要。今のアーキテクチャーが最適解では無くなるので、新たなソリューション導入検討も必要なアクションとなる。・閾値によるモニタリングの脱却 → 機械学習による異常予測検知・AIOpsによる速やかな原因分析・・・and more！

Slide 24

Slide 24 text

Copyright coconala Inc. All Rights Reserved. サービスの特性を認識したうえで対策を講じる 24 意外と攻撃やお行儀の悪いアクセスは来ている例えば、◯snbotがとんでもない頻度でアクセス（おそらくスクレイピング）していて、閾値に引っかかっていた。怪しいアクセスは「5xx系」ではなく、「403」で返せれば止まる（諦める）ことが大多数！サービスの提供範囲（たとえば、国・地域）を元にドラスティックに対策するのもあり。

Slide 25

Slide 25 text

Copyright coconala Inc. All Rights Reserved. セキュリティログの分析👀により、サイトの信頼性向上の糸口💡が見つかります！！😁 Security logs analysis could be a silver bullet…?? The journey of combining a career in SRE and security has only just begun. 25

Slide 26

Slide 26 text

Fin

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Copyright coconala Inc. All Rights Reserved. 28 {"timestamp":1660500016184,"formatVersion":1,"webaclId":"arn:aws:wafv2:xxxxxxxxxx:x xxxxxxxxxxx:regional/webacl/coconala-xxx-xxx/fxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx","t erminatingRuleId":"Default_Action","terminatingRuleType":"REGULAR","action":"ALLOW ","terminatingRuleMatchDetails":[],"httpSourceName":"ALB","httpSourceId":"xxxxxxxxxxx x-app/coconala-xxxxxxxxx/62e94fe4ea5bbd7d","ruleGroupList": 〜〜中略〜〜 "requestHeadersInserted":null,"responseCodeSent":null,"httpRequest":{"clientIp":"xxx.xx x.xxx.xxx","country":"JP","headers":[{"name":"host","value":"coconala.com"},{"name":"acc ept","value":"application/octet-stream,image/x-icon,image/jpg,image/jpeg,image/png,ima ge/x-win-bitmap,image/ico,image/x-bmp,image/tiff,image/gif,image/bmp,image/x-xbitmap ,binary/octet-stream,image/x-ms-bmp"},{"name":"user-agent","value":"Coconala/x.xx.x (com.coconala.ios.portal; build:x.xx.x; iOS xx.x.x) 〜〜後略〜〜 AWS WAFログのサンプル

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたGuardDutyのモニタリング（1/3） 35 日次で傾向把握と分析、攻撃の芽を早めに摘むココナラでは、脅威発生状況（脅威の種類、IPアドレス別、国別、など）を確認・分析。脅威を行うIPアドレスはHTTPリクエストとしても攻撃を仕掛けてくる可能性があるので、AWS WAF / ELBログの状況と突き合わせを行い、こちらもWAFのIPアドレス拒否リストへ追加する運用を実現。

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Copyright coconala Inc. All Rights Reserved. SIEMの仕組みとAWS WAF Bot Controlを組み合わせてみた 40 Botのアクセスを深掘りし、悪意を早期発見 BotとBot以外のアクセス状況可視化やBotをカテゴライズして、Block / Countなどの対策を決めることが可能。ココナラでは、誤検知・誤遮断をさけるためにデータを参考値にして、実態は SIEMを確認して、判断を行う運用を実施。