SIEMで攻撃検出運用

SIEM

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

SIEMを活用した攻撃検出運用の実践

SIEMはログデータからセキュリティイベントを相関分析し、攻撃を検出する中核です。効果的な運用には脅威モデルに基づいた戦略が不可欠です。

脅威モデル

標的型攻撃（APT）を想定した脅威モデルは、外部からの侵入から内部での横展開、最終的なデータ窃取までの一連のキルチェーンをカバーします。攻撃者は特定の組織を狙い、高度な手法を用いて長期的な潜伏を試みます。初期アクセス、永続化、認証情報窃取、横展開、データ収集、データ流出といったフェーズで構成され、それぞれに対して具体的な検出ポイントと緩和策を検討する必要があります。内部犯行やサプライチェーン攻撃も考慮すべき重要な要素です。

攻撃シナリオ

典型的な標的型攻撃シナリオとして、以下を挙げます。

  1. 初期アクセス: 標的組織の従業員に対し、巧妙なフィッシングメールを送信。
  2. 実行: 従業員が不正な添付ファイルを開封またはリンクをクリックし、マルウェアに感染。
  3. 永続化: マルウェアがPC内で活動を開始し、管理者権限を取得後、スケジュールタスクやサービス登録を通じて永続化を確立。
  4. 認証情報アクセス: メモリ内の認証情報（例: LSASSプロセス）をダンプし、ドメイン管理者アカウントのハッシュやパスワードを窃取。
  5. 横展開: 窃取した認証情報を用いて、PsExecやWMI、RDPなどの正規ツールを悪用し、他のサーバや重要なシステムへアクセスを拡大。
  6. データ収集: 侵入したサーバ内で機密性の高いファイルを検索・特定し、ステージングディレクトリに集約。
  7. データ流出: 収集したデータを外部のC2（Command and Control）サーバへHTTP/HTTPSトンネルなどを利用して送信し、情報窃取を完了。

攻撃チェーンの可視化

graph TD
    A["初期アクセス - フィッシングメール"] --> |不正リンク/添付ファイル実行| B["実行 - マルウェア感染"]
    B --> |PowerShellスクリプト実行/ペイロード展開| C["永続化 - スケジュールタスク登録"]
    C --> |Mimikatz実行による認証情報ダンプ| D["認証情報アクセス - ローカル/ドメイン管理者パスワード窃取"]
    D --> |PsExec/WMIによる横展開| E["横展開 - 他サーバへのアクセス"]
    E --> |RDP/SMB経由でのデータ特定/収集| F["データ収集 - 機密ファイル特定と集約"]
    F --> |外部C2サーバへのデータ送信| G["データ流出 - 情報窃取"]

検出/緩和

上記の攻撃シナリオに基づき、SIEMでの検出ポイントと緩和策は以下の通りです。

攻撃フェーズ 検出ポイント（ログソース） 検出ルール例 緩和策
初期アクセス メールゲートウェイログ、プロキシログ、EDR 不審な送信元からのメール受信、未知のドメインへのアクセス メールセキュリティ、サンドボックス、Webフィルタリング
実行 Windowsイベントログ（Sysmon）、EDRログ 通常と異なるプロセスの起動、署名のない実行ファイル、PowerShellスクリプト実行 EDR、アプリケーションホワイトリスト、MFA
永続化 Windowsイベントログ（ID 4698: スケジュールタスク作成）、EDRログ 不審なスケジュールタスクやサービスの作成 最小権限原則、定期的な設定監査
認証情報アクセス Windowsイベントログ（ID 4624/4625: ログオン/ログオフ）、Sysmon（プロセスアクセス） LSASSプロセスへの不正アクセス、パスワードダンプツールの実行 EDR、Credential Guard、MFA
横展開 Windowsイベントログ（ID 4624/4625: ログオン）、Sysmon（WMI/PsExecイベント）、Active Directoryログ 異常なホストからの管理者ログオン、複数ホストへの同時アクセス ネットワークセグメンテーション、EDR
データ収集 ファイルサーバアクセスログ、EDRログ 通常と異なる大量のファイルアクセス、機密情報を含むファイルへのアクセス DLP、ファイルアクセス制御、最小権限
データ流出 プロキシログ、ファイアウォールログ、IDS/IPS 未知の外部IPアドレスへの通信、大量のデータ送信、C2通信パターン ネットワーク境界防御、IDS/IPS、プロキシ

SIEMでは、これらのログソースを統合し、時間軸で相関分析することで、単一のイベントでは見逃されがちな攻撃の連鎖を検出します。

暗号やプロトコルの誤用例と安全な代替

セキュリティ運用において、誤ったプロトコルや暗号の使用は情報漏洩や攻撃経路の開拓に直結します。

誤用例

平文プロトコルでの認証情報や機密情報の送受信、またはハードコードされた鍵の利用は重大なリスクです。

# 誤用例: 平文HTTPで機密情報を含むリクエストを送信
# APIトークンをURLに含め、HTTPで送信しているため、中間者攻撃やログから情報が漏洩するリスクがある
curl http://api.example.com/v1/user_data?token=YOUR_HARDCODED_API_TOKEN

# 誤用例: 平文FTPで重要なファイルをアップロード
# 認証情報、ファイル内容がネットワーク上で傍受される危険性がある
Invoke-WebRequest -Uri "ftp://ftp.example.com/upload/report.csv" -Method UploadFile -InFile "C:\Secrets\report.csv" -Credential (Get-Credential)

安全な代替

HTTPSやSSHといった暗号化されたプロトコルを使用し、鍵や秘匿情報は専用の管理システムから取得・利用します。

# 安全な代替: HTTPSを使用し、APIトークンはHTTPヘッダで渡し、環境変数から取得
# API_TOKENは環境変数やKey Vault/Secrets Managerから取得した値であると仮定
curl https://api.example.com/v1/user_data -H "Authorization: Bearer $API_TOKEN"

# 安全な代替: SFTP（SSH File Transfer Protocol）でファイルをアップロード
# SSHプロトコルにより通信が暗号化され、認証情報やファイル内容が保護される
# Passphraseはセキュアな方法で取得・管理されるべき
Set-Content -Path "C:\temp\report.csv" -Value "Secret Data"
$sftpSession = New-SftpSession -HostName "sftp.example.com" -Port 22 -Credential (Get-Credential)
Send-SftpItem -SftpSession $sftpSession -Path "C:\temp\report.csv" -Destination "/upload/report.csv"
Disconnect-SftpSession -SftpSession $sftpSession

鍵/秘匿情報の取り扱い

鍵や秘匿情報の適切な管理はセキュリティの根幹です。

  • ローテーション: 鍵やパスワードは定期的にローテーションする必要があります。自動化された鍵管理システム（例: AWS Secrets Manager, Azure Key Vault, HashiCorp Vault）を活用し、システムが自動で鍵を更新し、関連サービスに配布する仕組みを導入します。これにより、漏洩時の影響範囲を限定し、攻撃者が利用できる期間を短縮します。
  • 最小権限: 鍵や秘匿情報へのアクセスは、その情報が必要なシステムやユーザーに限定し、必要最小限の権限のみを付与します。Role-Based Access Control (RBAC) を厳格に適用し、不必要なアクセスパスを排除します。
  • 監査: 鍵や秘匿情報へのアクセス試行、取得、変更、削除のすべてをログに記録し、SIEMに集約します。これにより、不正なアクセスパターンや異常な利用状況を検出し、速やかにアラートを発する体制を構築します。

運用対策

SIEMを活用した攻撃検出運用では、現場特有の落とし穴が存在します。

  • 誤検知（False Positive）: ノイズとなるイベントが多すぎる場合、アナリストは大量の無関係なアラートに埋もれ、真の脅威を見逃しやすくなります。これを防ぐためには、継続的なルールチューニング、正規のイベントを学習するベースライン設定、コンテキスト情報（ユーザー部門、時間帯、IPアドレスのレピュテーションなど）を取り入れた高度な相関ルール作成が不可欠です。
  • 検出遅延（Detection Latency）: ログの収集遅延やSIEMの処理能力不足は、攻撃の検出を遅らせ、対応の機会を失わせます。リアルタイムログ収集の徹底、SIEMインフラストラクチャのスケーラビリティ確保、高優先度アラートの即時通知メカニズムの確立が必要です。
  • 可用性トレードオフ: SIEMシステム自体の可用性やパフォーマンスが低下すると、セキュリティ監視が機能しなくなります。SIEMの冗長化、ログ転送エージェントの負荷評価、ログ量とストレージコストのバランスの最適化が必要です。また、SIEM導入が原因で業務システムにパフォーマンス影響を与えないよう、エージェントやログ転送設計には注意が必要です。
  • 脅威ハンティング: 自動検出ルールだけでは捕捉できない未知の脅威や高度な攻撃に対しては、能動的な脅威ハンティングが有効です。SIEMデータやEDR情報を活用し、仮説に基づいたデータ探索を行うことで、潜在的な脅威を発見します。
  • 定期的な訓練とスキルアップ: セキュリティアナリストは、新しい攻撃手法やSIEMの機能を常に学習し、インシデント対応プレイブックの訓練を定期的に実施することで、検出能力と対応速度を向上させます。

まとめ

SIEMを活用した攻撃検出運用は、単なるツールの導入に留まらず、継続的なプロセス改善と人員育成が不可欠です。脅威モデルに基づいた戦略的なルール設計、適切なログソースの確保、秘匿情報の厳格な管理、そして運用上の課題への現実的な対応が、効果的なセキュリティ運用を実現します。技術だけでなく、「人」「プロセス」「情報」の三要素が連携することで、組織のサイバーレジリエンスが強化されます。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました