Elasticsearchによるリモートワーク時代のセキュリティ対策
2 likes602 views
セキュリティレベルにばらつきのあるリモートワーク環境では、サイバー攻撃の脅威にさらされる危険性が高まります。 本セッションでは、Elastic Machine Learningを活用して、不正アクセスやマルウェア感染などを自動検知する方法を解説します。
Elasticsearchによるリモートワーク時代のセキュリティ対策
- 1. 1 2020/06/10 Acroquest Technology株式会社 シニアコンサルタント 吉岡 洋 Elasticsearchによる リモートワーク時代のセキュリティ対策
- 2. 2 自己紹介 • Acroquest Technology株式会社 • 吉岡 洋（@Hirosh_Yoshioka） • 業務 ‒ Elastic Stackのコンサルティング全般 (全文検索／ログ分析／セキュリティ分析／可視化) • その他 ‒ 世界初のElastic Certified Engineer ‒ 日本初のElastic社認定コンサルタント ‒ Elastic User Group Tokyo運営
- 3. 3 Acroquest Technology株式会社 • 新横浜にあるITベンチャー ①Great Place To Work(R) Institute Japan実施 働きがいのある会社ランキング第1位(3回受賞) • 事業（データ活用ビジネス） ①Elastic Stack活用コンサルティングサービス ‒ 検証／設計／構築／運用支援など ‒ Elastic Certified Engineer：5名 ②IoTデータ分析プラットフォーム ③機械学習／AI
- 6. 66 QUESTION
- 9. 9 リモートワークで増大するセキュリティリスク リモートワーク 端末への サイバー攻撃 企業内 ネットワークへの アクセス経路増 インシデントの 解決速度の低下 • 端末によってセキュリティ レベルの差が大きい • セキュリティルールの 徹底が難しい • マルウェア感染端末が 社内ネットワークに 接続する可能性が増える • 社内端末への感染拡大 • オフィスワークに比べて セキュリティ管理者への インシデント報告が 遅くなる傾向
- 10. 10 検知すべきサイバー攻撃の例 マルウェアのインストールから情報流出までに様々な検知が必要 攻撃フェーズ サイバー攻撃 検知方法の例 インストール マルウェアのダウンロード WSH経由でのPowerShellの実行 遠隔操作 遠隔操作通信 DNSトンネリング 侵入拡大 各種サーバへの不正アクセス 大量のログイン要求 権限昇格のアプローチ Process Injection 情報流出 様々なプロトコルを使った情報集出 SMB/FTP/SMTP/IRC
- 12. 12 統合セキュリティ基盤「Elastic SIEM」 データ収集からセキュリティ分析／異常検知までをワンストップで実現 Kibana Elasticsearch Beats • 様々なデータソースに対応 • データ収集／加工が簡単(自動) • Elastic Common Schema • クロスソース検索 • 高度な異常検知（ルール／モデルベース） • 高度な分析UI（Elastic SIEM App） Logstash MITRE ATT&CKに 基づいた異常検知
- 14. 14 Prebuild Rule セキュリティ専門家によって 作成／保守されている 脅威の検知ルール プレビルドされている検知ルールおよび機械学習Job Prebuild Rule 130のうち79が MITRE ATT&CKに基づき 作成された検知ルール Prebuild Job 疑わしいプロセス／通信、 侵入試行／拡大を 検知する機械学習Job 130 79 19 ※ Elastic Stack Version.7.7時点の情報
- 15. 15 検知すべきサイバー攻撃の例 マルウェアのインストールから情報流出までに様々な検知が必要 攻撃フェーズ サイバー攻撃 検出方法の例 インストール マルウェアの ダウンロード WSH経由での PowerShellの実行 遠隔操作 遠隔操作通信 DNSトンネリング 侵入拡大 各種サーバへの 不正アクセス 大量のログイン要求 権限昇格の アプローチ Process Injection 情報流出 様々なプロトコルを 使った情報集出 SMB/FTP/SMTP/IRC チューニングの例 Download関連メソッドの 呼び出し検知 DNSクエリのサブドメイン ユニーク数急増検知Job 認証失敗イベントの 急増検知Job TGT取得イベント検知 Proxy認証失敗の 急増検知Job + Prebuild Rule／Job
- 20. 20 まとめ • リモートワークはセキュリティリスクが増大する ‒ サイバー攻撃ごとに異なる検知／対策が必要 • セキュリティ対策にはElastic SIEMの活用がおすすめ ‒ データ収集からセキュリティ分析／異常検知までをワンストップで実現 ‒ 約150の「検知ルール／異常検知Job」がプリインストール ‒ 適切な検知ルール／Jobの選択、誤検知を防止するチューニングが必要 • 対象データの拡大に合わせてクラスタの最適化が必要 ‒ 各種指標を元にクラスタ構成やインデックス／シャード設計を見直す ‒ 弊社、運用診断サービスのチェックポイントをご参考ください
- 21. 21 2020/06/10 Acroquest Technology株式会社 シニアコンサルタント 吉岡 洋 ご清聴ありがとうございました