はじめに
- Splunkではサイバー攻撃の検出・調査で使用する相関サーチ集を「Splunk ES Content Update(ESCU)」として提供しています。ESCUについては、こちらの記事に参考となる情報を載せています。
- ESCUのライブラリを活用するためには、「Splunk Security Essentials(SSE)」や「Splunk Enterprise Security」のAppが必要です。SSEは前回までの記事でご紹介しました。
- 今回は「Splunk Enterprise Security」を活用した検知ルール(相関サーチ)の探し方についてご紹介します。
「Splunk Enterprise Security」で相関サーチを探す
Splunk Enterprise Securityは、セキュリティに特化した各種機能を提供するPremium Appの位置付けです。Splunk Enterprise Securityを利用するには、追加のライセンス費用が必要です。
- Splunk Enterprise Securityのワークショップは、Splunk Japan主催で不定期に開催されています。
- 相関サーチは、以下のSplunk Enterprise Securityの「使用事例ライブラリ」画面を使って探します。この「使用事例ライブラリ」 は、「Splunk ES Content Update(ESCU)」の分析ストーリーと相関サーチを探すための機能です。
「使用事例ライブラリ」画面の表示の仕方
-
「Enterprise Security」のAppを選択して、以下のホーム画面を開く
-
メニューの「設定」、「コンテンツ」をクリックして、「使用事例ライブラリ」を選択
「使用事例ライブラリ」画面の構成
以下、使用事例ライブラリ画面のそれぞれの構成について説明します。使用事例ライブラリ画面のトップ画面では、ESCUの分析ストーリー単位で表示されます。
サイバー攻撃の手口をもとに分析ストーリー(Analytic Story)が定義されており、分析ストーリーごとに複数の相関サーチ(検知サーチ)が含まれます。
①使用事例タブの説明とフィルタ
- 画面左端の使用事例には「Abuse」や「敵対者戦略」などのユースケースカテゴリが定義されており、選択すると関連する分析ストーリーが右ペインに表示されます。
- 右ペインには分析ストーリーが表示され、各種フィルタや、文字列を入力して検索することで絞り込みができます。
②分析ストーリーの説明と各関連情報
- 分析ストーリーごとに複数の相関サーチが含まれます。相関サーチのデータモデルやルックアップ、各種フレームワークマッピング情報を確認できます。
- 分析ストーリーに含まれる複数の相関サーチが「Correlation Searches」に該当します。Correlation Searchesの実態はSPL=Saved Searchです。
- 画面の「使用中」の箇所で、分析ストーリーに関係するAnalytic Ruleが一つでも有効化されているとFlag🏁が表示されます。
- 画面の「ソースタイプ」の箇所で、[!]が表示されている場合、そのデータがない事を示しています（取り込み要検討）
- 画面の「データモデル」の箇所で、✓が表示されている場合、検知に必要なデータが存在していることを示しています。
③分析ストーリーの詳細
分析ストーリー名のリンクをクリックすることで、詳細画面に遷移します。今回は「Suspicious AWS S3 Activities」を例に説明します。
- 「Suspicious AWS S3 Activities」に紐づけられている相関サーチ（Detection：検知サーチ・Investigation：調査サーチ）が表示されます
- Detection：検知サーチは、検知ルールとして利用します。Investigation：調査サーチは、Detectionの検知後の調査時に使用するサーチです。
- 選択した相関サーチの詳細が表示されます
- [相関サーチを編集する]ボタンをクリックすることで、選択している相関サーチの（コンテンツ管理機能の）編集画面に遷移します
④分析ストーリー中の相関サーチ
- [サーチ]を展開するとそのルールで使われているサーチが表示されます。🔍マークをクリックすることで検索が実行され、画面下部に結果が表示されます。
さいごに：使用事例ライブラリのフィルタ使用例
以下のようなフィルタでの指定の仕方で、分析ストーリー・相関サーチを検索できます
1. フレームワーク、ログソースのデータモデルの指定
- 利用フィルタ：フレームワークマッピング、データモデル
特定のMITRE ATT&CKのTechnique IDや、取得済み・取得予定のログソースのデータモデルをフィルタで指定する
例） T1047, T1055.001, Authentication, Network_Traffic, Endpoint
2. 使用事例（ユースケース）の指定
- 左端の使用事例タブをクリック
分析ストーリーは使用事例で分類されている。目的に沿った使用事例を選択する
例）敵対者戦略, Cloud Security, マルウェア
3. 環境・アセット・攻撃の手口をフィルタに入力して指定
- 利用フィルタ：フレームワークマッピング
パブリッククラウド、アセットの名称や、さまざまな攻撃の手口の名称をフィルタで指定する
例）AWS, Azure, GCP, Active Directory, Juniper, Ransomware, CVE-2022-1388
今日もHappy Splunking!!