SIEMを用いて、セキュリティログ分析の可視化と分析を実現し、PDCAサイクルを回してみた

by coconala_engineer

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright coconala Inc. All Rights Reserved. 2021年上場前後のセキュリティ課題 7 課題の把握が弱く、どの順番で何をすればよいか？が不明確 ● 2021年3月の上場時にセキュリティ専門部署がない。 ● ↑の状況なので、セキュリティの課題がリストアップされておらず、インシデントドリブンの「もぐらたたき」で対応をしていた。 ● 自己流でログの取得だけは行っていたが、利活用が出来ていない。 ★ここにフォーカス！

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright coconala Inc. All Rights Reserved. セキュリティログ分析とは？ 11 システムのコンディション把握と打ち手の創出をすること分析、検知、監査、監視など目的は様々だが、「ある時点のシステムの状態（コンディション）を把握」し、そこから「対応が必要な場合の打ち手を創出する」ことを目的としている。システムの規模が多くなればなるほど、ログの量が膨大となるため、分析の仕組みが不可欠となる。

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング 17 日次で傾向把握と分析、過去との比較からパターン化ココナラは国内を中心にサービスをしているため、国内・海外のIPアドレスによるアクセス状況 / ブロック状況 / エラー発生状況などをモニタリングする。アクセス状況を見て、WAFルールの点検などを行い、プロアクティブに攻撃への対策を実施。

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Copyright coconala Inc. All Rights Reserved. システム全体の健康状態が一目瞭然になった 19 即時の分析とアクションへの転換ができた例えば、「リクエスト数の急な増加」が発生した場合にそれが悪意のあるアクセスなのかどうか？をダッシュボードを見るだけで一目瞭然になった。 ↑結果から、悪意のある or お行儀の悪いアクセスをしているIPアドレスを捕捉し、拒否リストへ登録した。（累計1億回以上のアクセスをブロック）

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Copyright coconala Inc. All Rights Reserved. 経営層を巻き込んでセキュリティ対策をより推進していく 22 経営層にセキュリティ対策の必要性・効果を理解してもらうセキュリティ強化を進めていくためには、経営層の理解が不可欠。「インシデント発生時の対応費」＞「セキュリティ対策費」という構図を理解してもらい、経営層と一緒にセキュリティ対策を進めていく。「銀の弾丸」はない。予算は限られるので、取捨選択しつつ、効率的・効果的に対策を進めることが重要。