SIEMを用いて、セキュリティログ分析の可視化と分析を実現し、 PDCAサイクルを回してみた

by coconala_engineer

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright coconala Inc. All Rights Reserved. 発表者紹介 4 川崎雄太　Yuta Kawasaki 株式会社ココナラシステムプラットフォーム部部長 / Head of Information 2020年　株式会社ココナラ入社プロダクトインフラ・SRE領域と社内情報システム / セキュリティ領域を担当 2023年から技術広報 / エンジニアブランディングの立ち上げにも携わっている

Slide 5

Slide 5 text

一人ひとりが「自分のストーリー」を生きていく世の中を作る

Slide 6

Slide 6 text

Copyright coconala Inc. All Rights Reserved. 6 ココナラの事業内容「知識・スキル・経験」を売り買いできるスキルマーケット  「ココナラ」 ITフリーランス向け  業務委託案件紹介サービス  「ココナラエージェント」  ビジネス向けに特化した  スキルマーケット  「ココナラビジネス」  一人ひとりにあった弁護士が見つかる検索メディア  「ココナラ法律相談」 

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Copyright coconala Inc. All Rights Reserved. 2021年上場前後のセキュリティ課題 9 課題の把握が弱く、どの順番で何をすればよいか？が不明確 ● 2021年3月に上場したが、その時点でセキュリティの専門部署がなく、どのようにロードマップを描き、合意形成し、推進していけばよいか不明確。 ● セキュリティの課題がリストアップされておらず、「もぐらたたき」で対応をしていた。 ● 自己流でログの取得だけは行っていたが、プロアクティブ・リアクティブな活用が出来ていない。 ○ 今回はここにフォーカス！

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Copyright coconala Inc. All Rights Reserved. セキュリティログ分析とは？ 16 システムのコンディション把握と打ち手の創出をすること ● 分析、検知、監査、監視など目的は様々だが、「ある時点のシステムの状態（コンディション）を把握」し、そこから「対応が必要な場合の打ち手を創出する」ことを目的としている。 ● システムの規模が多くなればなるほど、ログの量が膨大となるため、分析の仕組みが不可欠となる。

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Copyright coconala Inc. All Rights Reserved. 19 ## AWS WAFログのサンプル {"timestamp":1660500016184,"formatVersion":1,"webaclId":"arn:aws:wafv2:xxxxxxxxxx:x xxxxxxxxxxx:regional/webacl/coconala-xxx-xxx/fxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx","t erminatingRuleId":"Default_Action","terminatingRuleType":"REGULAR","action":"ALLOW ","terminatingRuleMatchDetails":[],"httpSourceName":"ALB","httpSourceId":"xxxxxxxxxxx x-app/coconala-xxxxxxxxx/62e94fe4ea5bbd7d","ruleGroupList": 〜〜中略〜〜 "requestHeadersInserted":null,"responseCodeSent":null,"httpRequest":{"clientIp":"xxx.xx x.xxx.xxx","country":"JP","headers":[{"name":"host","value":"coconala.com"},{"name":"acc ept","value":"application/octet-stream,image/x-icon,image/jpg,image/jpeg,image/png,ima ge/x-win-bitmap,image/ico,image/x-bmp,image/tiff,image/gif,image/bmp,image/x-xbitmap ,binary/octet-stream,image/x-ms-bmp"},{"name":"user-agent","value":"Coconala/x.xx.x (com.coconala.ios.portal; build:x.xx.x; iOS xx.x.x) 〜〜後略〜〜

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceとは？（1/2） 26 AWSサービスのログ可視化やセキュリティ分析を可能にする ● SIEMはSecurity Infomation and Event Managementの略であらゆるログの収集と一元管理を行い、相関分析による脅威検出とインシデントレスポンスをサポート。 ● オープンソースのOpenSearchとKibanaを用いて、上記を実現している。

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceでモニタリングしているもの 28 主には以下の4つ、随時モニタリング可能なものを拡充中 ● AWS WAF ⭐ご紹介します！ ● Amazon Elastic Load Balancing ⭐ご紹介します！ ● Amazon GuardDuty ⭐ご紹介します！ ● AWS CloudTrail

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたWAFログのモニタリング（1/4） 30 日次で傾向把握と分析、過去との比較からパターン化 ● ココナラは国内を中心にサービスをしているため、国内・海外のIPアドレスによるアクセス状況 / ブロック状況 / エラー発生状況などをモニタリングする。 ● アクセス状況を見て、WAFルールの点検などを行い、プロアクティブに攻撃への対策を実施。

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたELBログのモニタリング（1/3） 34 日次で傾向把握と分析、攻撃の芽を早めに摘む ● ココナラでは、4xx系と5xx系のリクエストが30秒あたりに100回を超えた場合に怪しいアクセスが増加したと判断。 ● IPアドレスの割り出しやアクセスしているURLを確認し、特に不正なURLへアクセスしていることを確認したら、WAF のIPアドレス拒否リストへ追加する運用を実現。

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Copyright coconala Inc. All Rights Reserved. SIEM on Amazon OpenSearch Serviceを用いたGuardDutyのモニタリング（1/3） 37 日次で傾向把握と分析、攻撃の芽を早めに摘む ● ココナラでは、脅威発生状況（脅威の種類、IPアドレス別、国別、など）を確認・分析。 ● 脅威を行うIPアドレスはHTTPリクエストとしても攻撃を仕掛けてくる可能性があるので、AWS WAF / ELBログの状況と突き合わせを行い、こちらもWAFのIPアドレス拒否リストへ追加する運用を実現。

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Copyright coconala Inc. All Rights Reserved. SIEMの仕組みとAWS WAF Bot Controlを組み合わせてみた 40 Botのアクセスを深掘りし、悪意を早期発見 BotとBot以外のアクセス状況をリアルタイムに可視化。Botをカテゴライズして、状況を見ることが可能。ココナラでは、Botによるアクセスが増加した場合、攻撃の可能性もあるため、SIEM を確認する運用を実施。

Slide 41

Slide 41 text

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Copyright coconala Inc. All Rights Reserved. 日次モニタリング運用を効率的・効果的に実現できた 44 可視化・分析結果を確実にアクションまで落とし込めたモニタリングの結果から、悪意のある or お行儀の悪いアクセスをしているIPアドレスを30以上捕捉し、拒否リストへ登録した。（累計計1億回以上のアクセスをブロック）また、AWS WAF Bot Controlを並用し、ログイン状況などの事業KPIへの影響を他部門と連携して、適切な値を算出した。

Slide 45

Slide 45 text

Copyright coconala Inc. All Rights Reserved. 状況が見えることで、アクションが打てるようになった 45 可視化 → 分析 → 改善のサイクルを回せるようになったシステム全体のアクセス状況をダッシュボード化し、ドリルダウンによる分析・異常値のを視覚的な把握によって、セキュリティインシデントの予兆検知と発生後の分析高速化を実現した。その結果、前述の拒否リストのアクションまでつなげることができた。

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Copyright coconala Inc. All Rights Reserved. 継続したリファクタリングの実践 47 一度、導入して終わりではなく、継続したリファクタリングを行う ● 攻撃は日々進化しているため、防御策も日々チューニング / リファクタリングを行う必要がある。 ○ ソリューションは「導入する」よりも「導入後の運用」が重要 ○ 「リアクティブ」だけでなく、「プロアクティブ」な仕掛けが重要

Slide 48

Slide 48 text

Slide 49

Slide 49 text

Copyright coconala Inc. All Rights Reserved. 経営層を巻き込んでセキュリティ対策をより推進していく 49 経営層にセキュリティ対策の必要性・効果を理解してもらう ● セキュリティ強化を進めていくためには、経営層の理解が不可欠。 ○ 「インシデント発生時の対応費」＞「セキュリティ対策費」という構図を理解してもらい、経営層と一緒にセキュリティ対策を進めていく ● 予算は限られるので、取捨選択しつつ、効率的・効果的に対策を進めることが重要。