<a href="/jp/products">Elastic Stack</a>のセキュリティ分析機能は、脅威検知や可視化、インシデントレスポンスまで幅広く使用されています。スピードとスケール性に優れたElasticsearchを使ってセキュリティ関連情報をインデックス・検索することで効率的にセキュリティ分析を実施でき、またKibanaダッシュボードが広範な可視化とインタラクティブな脅威ハンティングをサポートします。<a href="/jp/products/stack/machine-learning">機械学習</a>エンジンは複雑なデータセットの分析を自動化することができ、他の方法では発見することが難しい侵入活動を検知します。<a href="https://wazuh.com/">Wazuh</a>やSuricataなど、現在人気の侵入検知システムは、シグネチャーベースの脅威検知アプローチを採用しています。こうしたシステムではファイルやログ、ネットワークトラフィックのパターンをデータベースのパターンと比較し、悪意のあるアクティビティとの関連が知られているものと一致する場合にアラートを発します。データを分析／関連付けするための便利なルールセットをシステム側で提供し、運用環境では1日に数千、あるいは数百万ものアラートを生成します。広大な網を投げれば、すべての潜在的なセキュリティイベントを捕捉することができます。しかし同時に、毎日数千（あるいは数百万）ものアラートを選別する作業も発生します。Elasticの機械学習オプションを使えば自動で異常な振る舞いを特定でき、ノイズを減らすことができます。つまり、異常ベースのテクノロジーとシグネチャーベースのテクノロジーを相互に補わせ、脅威検知をよりスムーズに、調査をより効率的にするユースケースとして活用することができます。Elastic Stackと併用してデプロイされることの多い<a href="https://github.com/wazuh/wazuh">Wazuh</a>は、オープンソースのHIDS（ホストベース侵入検知システム）です。Wazuhはログ分析、ファイルの整合性監視、ルートキット、脆弱性検知、設定アセスメント、インシデントレスポンス機能を備えています。Wazuhのソリューションアーキテクチャーは、監視システム上で実行できるマルチプラットフォームの軽量エージェントをベースにしており、データ分析を実施する中央サーバーにレポーティングします。また包括的なKibanaプラグインも提供されており、設定管理やステータス監視、クエリ、アラートデータ可視化に使うことができます。もう1つ、Suricataは無料かつオープンソースのネットワーク脅威検出エンジンで、リアルタイムなネットワーク侵入検知（NIDS）や、インライン侵入防止（NIPS）、ネットワークセキュリティ監視（NSM）、オフラインpcap処理機能を提供します。Suricataはルールとシグネチャー言語を使用してネットワークトラフィックを点検し、既知の脅威やポリシー違反、悪意のある挙動とマッチを行うほか、複雑な脅威検出のためのスクリプト記述をサポートします。本ブログ記事ではWazuhやSuricataの統合機能に、調査の優先順位付けを支援するElasticの機械学習ジョブを組み合わせ、侵入を検知する方法をお伝えします。<h2>WazuhとSuricataにElastic Stackを統合する</h2>このブログ記事を作成するにあたり、執筆チームにて実証用のラボ環境をセットアップしました。インターネットに接続された複数のサーバーにWazuhエージェントをデプロイし、システムやアプリケーションのログデータ、フェイル整合性、システムコールを監視させます。これに加えてSuricataセンサーを実行し、ネットワークトラフィックを監視させます。このセンサーはネットワークタップやミラーリングポート、あるいはSPAN（スイッチトポートアナライザー）ポートを経由してトラフィックを監視する設定でよく使用されますが、直接サーバーにデプロイすることもできます。2つのツールを最大活用するため、私たちはWazuhのルールを使ってSuricataのアラートを分析し、アラートのフォーマットを統一してから相関付け（たとえば、脅威インテリジェンスソースなど）を行って自動レスポンスをトリガーさせることにしました。この統合は、WazuhエージェントにSuricataのJSON出力を読み込ませることで実現できました。WazuhエージェントはSuricataのNIDSアラートをWazuhサーバーに転送するコレクターとして振る舞い、アラートはサーバーでWazuhのログ分析ルールによって処理されます。これで新規の、エンリッチされたセキュリティイベントとなります。この作業過程でNIDSとHIDSの双方のアラートはFilebeat（Wazuhを読み込むよう設定したもの）とLogstash（地理的位置情報によるエンリッチに使用）を経由してElasticsearchに送られ、そこで機械学習ジョブが異常や、普通ではない振る舞いを検知します。下の図は、ホストベースとネットワークベースのIDSテクノロジーにElastic Stackを統合したデプロイの例です。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt69bd38c77bdaac5e/5c583b764651cff70b650fc7/wazuh.png" data-sys-asset-uid="blt69bd38c77bdaac5e" alt="Elastic StackとWazuhによるセキュリティ分析" style="display: block;margin: auto;"/><h2>機械学習ジョブを使用して異常な行動者を検知する</h2>今回のラボ環境ですべてのルールを有効化したところ、インターネットに接続したWebサーバーの1台で、Wazuhエージェントが1日あたり4,000 - 10,000程のIDSアラートを報告しました。その多くはWeb攻撃、認証失敗や設定の問題（ハードニングチェックを用いて検出）、ファイル整合性の変更、脆弱なソフトウェアに関連したものでした。セキュリティ分析を行いやすくするため、Wazuh IDSアラートを<a href="https://documentation.wazuh.com/3.x/user-manual/manager/alert-threshold.html">レベル値</a>または<a href="https://documentation.wazuh.com/3.x/user-manual/agents/grouping-agents.html">グループ</a>などのメタデータでエンリッチし、優先度や種類で絞り込みできるようにしました。さらにWazuhのKibanaプラグインで、エージェントのステータスや設定、アラートに関して便利な情報を表示する事前構成済みダッシュボードを作成できます。下のスクリーンショットが、そのダッシュボードです。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltaeded6e5f42e8008/5c583b6f713ebdec0ba0724b/wazuh_1.jpg" data-sys-asset-uid="bltaeded6e5f42e8008" alt="" style="display: block;margin: auto;"/>Wazuhが提供する情報は便利ですが、異常な振る舞いについて詳しく知ることはできません。ここで役に立つのがElasticの機械学習ジョブです。Elasticの機械学習では数種類の“ジョブ”を作成することができ、 この“ジョブ”が機械学習分析の基本的な要素となっています。今回は“ポピュレーション分析”として知られるジョブを作成することにしました。すなわち、機械学習エンジンに時間経過によるIPアドレスの典型的な振る舞いのベースラインモデルを構築させることで、他のデータ値と比較して異常に振る舞うものを特定します。特に今回のケースでは、他のすべてのIPアドレスと比較した場合に、異常に多くの種類のアラートを発生させるIPアドレスを探すことにしました。この検出は、アグリゲーションテーブルを作成するだけでは実現できません。というのも異常はセキュリティ分析者が知りえない特定の時間に発生するものであり、一方でアラートデータは60日分もある（しかも一部の攻撃は2分間未満という短さである）からです。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt5f3853bf1907d6b8/5c583b698c741b010cbf6cf2/wazuh_2.png" data-sys-asset-uid="blt5f3853bf1907d6b8" alt="" style="display: block;margin: auto;"/>ポピュレーション分析の結果、私たちはいくつかの異常な振る舞いを見つけることができました（ソースIPアドレスのリストという形で）。そして、さらに調査することにしました。悪意をもった攻撃の可能性のある振る舞いがいつ私たちの環境を攻撃したか把握するため、“Anomaly Explorer”を使いました。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc441190af1573bef/5c583b644651cff70b650fc1/wazuh_3.png" data-sys-asset-uid="bltc441190af1573bef" alt="" style="display: block;margin: auto;"/><h2>侵入の形跡を調査する</h2>セキュリティ分析の一例として、機械学習ジョブが特定したIPアドレスのうちの1つを調査した結果をご紹介しましょう。この特定のIPアドレスは1分未満のあいだに複数のNIDSおよびHIDSアラートを発生させ、Wazuhの自動アクションがWebサーバーにあるローカルのファイアウォールでブロックしました。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt9943893542e7e7f3/5c583b5edfaabbd40b9c2c0c/wazuh_4.jpg" data-sys-asset-uid="blt9943893542e7e7f3" alt="" style="display: block;margin: auto;"/>上のスクリーンショットが示すように、SuricataのNIDSは示されたソースIPアドレスから悪意あるトラフィックを検出しています。流入トラフィックで4つのルールに一致し、以下のアラートを生成しました。<ul><li>ET DROP Dshield Block Listed Source group 1</li><li>ET CINS Active Threat Intelligence Poor Reputation IP group 77</li><li>SURICATA HTTP URI terminated by non-compliant character</li><li>SURICATA HTTP METHOD terminated by non-compliant character</li></ul>最初の2つのルールは<a href="http://doc.emergingthreats.net/">Emerging Threats</a>（発生しつつある脅威）ルールセットの一部で、<a href="https://www.dshield.org/">Dshield</a>とActive Threat IntelligenceというTI（Threat Intelligence／脅威インテリジェンス）ソースに基づき、このソースIPアドレスに既知の悪い評判があることを示します。さらにあと2つのシグネチャーは、同じソースIPアドレスから来る異常なHTTPアクティビティを検出しています。多くは攻撃者が潜在的な脆弱性の情報を収集するためのスキャニング段階の一部のようです。このWazuh HIDSコンポーネントは、Webサーバーのアクセスログの分析基づく複数のアラートもトリガーしています。このアプローチはネットワークパケット検査とは大きく異なり、最終的に次のアラートを発生させました。<ul><li>IP address found in AlienVault reputation database</li><li>Host Blocked by firewall-drop.sh Active Response</li><li>Host Unblocked by firewall-drop.sh Active Response</li></ul>最初のアラートは、このソースIPアドレスが別のTI（脅威インテリジェンス）の<a href="https://otx.alienvault.com/">AlienVault OTX</a>でも既知であることを示しています。次の2つのアラートは先行して上がったアラート群を理由にWazuh Active Responseモジュールがトリガーしており、きっかり60秒間で（時間は設定可能）自動的にファイアウォールルールを加えて、この特定のソースIPアドレスからのトラフィックをブロックしています。このアクションは、スキャン活動をブロックし、悪意のある行動者の侵入を止めさせる十分な効果がありました。<h2>まとめ</h2>WazuhとSuricata、そしてElasticの機械学習といったテクノロジーを使えば、シグネチャーベースと異常ベースの侵入検知を併用した脅威検出を手軽に、効率的に実施することができます。またホストベースのIDS（ホストレベルのシステム監視用）をネットワークベースのIDS（ネットワークトラフィック検査用）に統合すれば、脅威検知とセキュリティ可視化をさらに高度に実施することができます。これはElastic StackにホストとネットワークのIDSシステムを統合できるWazuhを使うことで簡単に実行でき、自動化レスポンスと攻撃のリアルタイムなブロックのメカニズムも提供されます。

ML_IDS_2000x415a.jpg

Blog.jpg

Improve Security Analytics with the Elastic Stack, Wazuh, and IDS

Elastic Stack、Wazuh、IDSで実践するセキュリティ分析

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Santiago Bassett

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、上記で提供された連絡先に<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">特定の通知</a>が送信されることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシーポリシー</a>をご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.

GDPR Text + Google Cloud

送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。このフォームを送信することにより、Elasticが私の連絡先情報をGoogle Cloudに共有することに同意します。また、Elasticが私に食材パッケージを発送する目的で私の情報をベンダーに提供することにも同意します。

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

送信することにより、Elasticの<a href="/jp/legal/serverless-preview-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

送信することにより、<a href="/jp/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud利用規約</a>に同意したものとみなされます。個人情報は<a href="/jp/legal/privacy-statement">Elasticのプライバシーポリシー</a>に基づいて取り扱われます。

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

送信することにより、Elasticの<a href="/jp/legal/terms-of-use" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

このページのコンテンツは、選択された言語ではご利用いただけません。Elasticでは現在、コンテンツをさまざまな言語でご利用いただけるよう取り組んでいます。お使いの言語が準備されるまでお待ちくださるようお願いいたします。

Author

Articles by

Watch now (no PT)

Watch now

See all top stories

すべてのトップストーリーを見る

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Search Integrations

All Solutions

Video for

See when this webinar starts in my time zone

現在のタイムゾーンでこのウェビナー開始時間を見る

Register to Watch

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

他の予定と重なってしまった…という場合も、問題ありません。参加登録されると、録画配信をご利用いただけます。関連コンテンツのご案内もメールでお届けします。

Author

Articles by Santiago Bassett

Elastic Stack、Wazuh、IDSで実践するセキュリティ分析

Sign up for Elastic Cloud free trial