セキュリティログ監視ルールを作成する

Vulnerability ProtectionDeep Securityのセキュリティログ監視モジュールでは、OSとアプリケーションのログを収集して分析し、何千ものログエントリに含まれている重要なセキュリティイベントを識別できます。これらのイベントをセキュリティ情報/イベント管理 (SIEM) システムまたは中央のログサーバに送信して、関連付け、レポート、およびアーカイブに使用できます。また、すべてのイベントはVulnerability ProtectionDeep Security Managerでまとめて安全に収集されます。

Vulnerability ProtectionDeep Securityのセキュリティログ監視モジュールでは、次の処理が可能です。

• PCI DSSログ監視の要件を満たす。
• 不審な動作を検出する。
• さまざまなOSとアプリケーションを含む異種環境でイベントを収集する。
• エラーなどのイベントや情報イベント (ディスクがいっぱいである、サービスの開始/停止など) を表示する。
• 管理者のアクティビティ (管理者のログイン/ログアウト、アカウントのロックアウト、ポリシーの変更など) の監査証跡を作成して維持する。

Vulnerability ProtectionDeep Securityのセキュリティログ監視では、次に示すさまざまな方法で、重要なセキュリティイベントの収集が自動的に行われます。

• 推奨設定の検索: 推奨設定の検索では、検索対象のサーバに対して、セキュリティログ監視ルール (Windowsのセキュリティログ監視ルールやUNIXのセキュリティログ監視ルールなど) を推奨します。
• 初期設定のセキュリティログ監視ルール: Vulnerability ProtectionDeep Securityには、さまざまなOSとアプリケーションに対応した、定義済みの多数のルールが用意されています。
• 自動タグ付け: セキュリティログ監視イベントは、ログファイル構造内でのグループに基づいて「自動でタグ付け」されます。これにより、Vulnerability ProtectionDeep Security Manager内のセキュリティログ監視イベントの処理が簡略化および自動化されます。

Vulnerability ProtectionDeep Securityには多数の一般的なOSおよびアプリケーション用のセキュリティログ監視ルールが用意されていますが、独自のカスタムルールを作成することもできます。カスタムルールを作成する場合は、「基本ルール」テンプレートを使用するか、または新しいルールをXMLで記述できます。ここでは、セキュリティログ監視ルールの言語について説明し、カスタムルールの例を示します。既存のセキュリティログ監視ルールのプロパティの説明については、セキュリティログ監視ルールのドキュメントおよび「参照」セクションの「セキュリティログ監視ルールの確認」を参照してください。

セキュリティログ監視プロセス

デコーダ

セキュリティログ監視ルールは、変更を監視するファイルのリストおよびトリガするルール用の条件のセットで構成されています。セキュリティログ監視エンジンが監視対象のログファイルで変更を検出すると、その変更はデコーダによって解析されます。デコーダは、rawログエントリを解析して次のフィールドを生成します。

• log: イベントのメッセージセクション
• full_log: イベント全体
• location: ログの生成元
• hostname: イベント発生元のホスト名
• program_name: プログラム名。イベントのSyslogヘッダから取得されます。
• srcip: イベント内の送信元のIPアドレス
• dstip: イベント内の送信先のIPアドレス
• srcport: イベント内の送信元のポート
• dstport: イベント内の送信先のポート
• protocol: イベント内のプロトコル
• action: イベント内で実行された処理
• srcuser: イベント内の送信元のユーザ
• dstuser: イベント内の送信先のユーザ
• id: イベントからのIDとしてデコードされたID
• status: イベント内のデコードされたステータス
• command: イベント内で呼び出されるコマンド
• url: イベント内のURL
• data: イベントから抽出される追加データ
• systemname: イベント内のシステム名

ルールは、このデコードされたデータを確認して、ルールで定義された条件に一致する情報を検索します。

一致する項目の重要度レベルが十分に高い場合は、次のいずれかの処理を実行できます。

• アラートの発令 (セキュリティログ監視ルールの [プロパティ] 画面の [オプション] タブで設定できます)
• イベントのSyslogへの書き込み ([管理]→[システム設定]→[SIEM] タブの [システムイベント通知] エリアで設定できます)
• イベントのDeep Security Managerへの送信 (ポリシーまたはコンピュータエディタの [設定]→[SIEM] タブの [セキュリティログ監視イベントの転送 (Agent/Applianceから)] エリアで設定できます)

セキュリティログ監視ルール

セキュリティログ監視エンジンは、コンピュータのログエントリにセキュリティログ監視ルールを適用して、それらのエントリでセキュリティログ監視イベントを生成する必要があるかどうかを判断します。

1つのセキュリティログ監視ルールには複数のサブルールを含めることができます。これらのサブルールには、アトミックとコンポジットという2つの種類があります。アトミックルールは1つのイベントを評価し、コンポジットルールは複数のイベントを確認して、頻度、繰り返し、およびイベント間の相関関係を評価できます。

アトミックルール

グループ

各ルールまたはルールのグループは、<group></group> エレメント内に定義する必要があります。属性名には、このグループに追加するルールを含めてください。次の例では、Syslogとsshdのルールをグループに含めています。

<group name="syslog,sshd,">
</group> 

ルール、ID、およびレベル

グループには必要な数のルールを含めることができます。ルールは、<rule></rule> エレメントを使用して定義されます。ルールには少なくとも2つの属性 (idおよびlevel) が必要です。idは、署名の一意の識別子です。levelは、アラートの重要度です。次の例では、ルールIDとレベルの異なる、2つのルールが作成されます。

<group name="syslog,sshd,">
	<rule id="100120" level="5">
	</rule>
	<rule id="100121" level="6">
	</rule>
</group>

<group></group> タグを使用すると、親グループ内に追加のサブグループを定義できます。このサブグループは、次の表に示す任意のグループを参照できます。

説明

<description></description> タグを含めます。ルールがトリガされると、説明のテキストがイベントに表示されます。

<group name="syslog,sshd,">
	<rule id="100120" level="5">
		<group>authentication_success</group>
		<description>SSHD testing authentication success</description>
	</rule>
	<rule id="100121" level="6">
		<description>SSHD rule testing 2</description>
	</rule>
</group>

デコード形式

<decoded_as></decoded_as> タグでは、指定されたデコーダがログをデコードした場合にのみルールを適用するようにセキュリティログ監視エンジンを設定します。

<rule id="100123" level="5">
	<decoded_as>sshd</decoded_as>
	<description>Logging every decoded sshd message</description>
</rule>

一致項目

特定の文字列をログで検索するには、<match></match> を使用します。Linuxのsshdのパスワードエラーログを次に示します。

 Jan 1 12:34:56 linux_server sshd[1231]:Failed password for invalid 
	user jsmith from 192.168.1.123 port 1799 ssh2

「Failed password」という文字列を検索するには、<match></match> タグを使用します。

<rule id="100124" level="5">
	<decoded_as>sshd</decoded_as>
	<match>^Failed password</match>
	<description>Failed SSHD password attempt</description>
</rule>

次の表は、サポートされている正規表現の構文を一覧表示しています。

条件文

ルールの評価では、trueと評価される他のルールを条件とすることができます。<if_sid></if_sid> タグでは、タグで識別されたルールがtrueと評価された場合にのみこのサブルールを評価するようにセキュリティログ監視エンジンを設定します。次の例では、100123、100124、および100125の3つのルールを示します。<if_sid></if_sid> タグを使用して、ルール100124と100125がルール100123の子になるように変更されています。

<group name="syslog,sshd,">
	<rule id="100123" level="2">
		<decoded_as>sshd</decoded_as>
		<description>Logging every decoded sshd message</description>
	</rule>
	<rule id="100124" level="7">
		<if_sid>100123</if_sid>
		<match>^Failed password</match>
		<group>authentication_failure</group>
		<description>Failed SSHD password attempt</description>
	</rule>
	<rule id="100125" level="3">
		<if_sid>100123</if_sid>
		<match>^Accepted password</match>
		<group>authentication_success</group>
		<description>Successful SSHD password attempt</description>
	</rule>
</group>

評価の階層

<if_sid></if_sid> タグでは、基本的に階層型のルールセットを作成します。つまり、<if_sid></if_sid> タグをルールに含めることにより、そのルールは <if_sid></if_sid> タグで参照されるルールの子になります。ログにルールを適用する前に、セキュリティログ監視エンジンは <if_sid></if_sid> タグを評価して親子ルールの階層を作成します。

次の表は、使用可能なアトミックルールの条件指定のオプションを一覧表示しています。

このルールを100125ルールに依存させるには、<if_sid>100125</if_sid> タグを使用します。このルールでは、成功したログインルールにすでに一致するsshdメッセージの確認のみが行われます。

<rule id="100127" level="10">
	<if_sid>100125</if_sid>
	<time>6 pm - 8:30 am</time>
	<description>Login outside business hours.</description>
	<group>policy_violation</group>
</rule>

ログエントリのサイズに関する制限

次の例では、maxsize属性を前の例に追加しています。この属性では、maxsizeよりも文字数が少ないルールの評価のみを行うようにセキュリティログ監視エンジンを設定します。

<rule id="100127" level="10" maxsize="2000">
	<if_sid>100125</if_sid>
	<time>6 pm - 8:30 am</time>
	<description>Login outside business hours.</description>
	<group>policy_violation</group>
</rule>

次の表は、使用可能なアトミックルールのツリーベースのオプションを一覧表示しています。

コンポジットルール

アトミックルールは、1つのログエントリを確認します。複数のエントリを関連付けるには、コンポジットルールを使用する必要があります。コンポジットルールは、現在のログを受信済みのログと照合します。コンポジットルールには、2つの追加オプションが必要です。frequencyオプションでは、ルールによってアラートが生成されるまでのイベント/パターンの発生回数を指定します。timeframeオプションでは、セキュリティログ監視エンジンがどのくらい前までさかのぼってログを検索する必要があるか (秒単位) をエンジンに通知します。すべてのコンポジットルールの構造は次のようになります。

<rule id="100130" level="10" frequency="x" timeframe="y">
</rule> 

たとえば、10分以内にパスワードを5回間違えたら重要度の高いアラートを作成するコンポジットルールを作成できます。<if_matched_sid></if_matched_sid> タグを使用すると、アラートを作成する新しいルールに対して、目的の頻度および期間内にトリガする必要のあるルールを指定できます。次の例では、イベントの5つのインスタンスが発生したらトリガするようにfrequency属性が設定されています。また、timeframe属性で、期間が600秒に指定されています。

コンポジットルールが監視するその他のルールを定義する場合は、<if_matched_sid></if_matched_sid> タグが使用されます。

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_sid>100124</if_matched_sid>
	<description>5 Failed passwords within 10 minutes</description>
</rule>

より詳細なコンポジットルールを作成するのに使用できるタグが他にもいくつかあります。このようなルールを使用すると、次の表に示すように、イベントの特定の部分が同じになるように指定できます。これにより、コンポジットルールを調整して誤判定を減らすことができます。

認証が失敗するたびにアラートを生成するようにコンポジットルールで指定するには、特定のルールIDを使用する代わりに、<if_matched_sid></if_matched_sid> タグを <if_matched_ group></if_matched_ group> タグに置き換えます。これにより、authentication_ failureなどのカテゴリを指定して、インフラストラクチャ全体での認証の失敗を検索できます。

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_group>authentication_failure</if_matched_group>
	<same_source_ip />
	<description>5 Failed passwords within 10 minutes</description>
</rule>

<if_matched_sid></if_matched_sid> タグと <if_matched_group></if_matched_ group> タグの他にも、<if_matched_regex></if_matched_regex> タグを使用して、受信したログを検索する正規表現を指定することができます。

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_regex>^Failed password</if_matched_regex>
	<same_source_ip />
	<description>5 Failed passwords within 10 minutes</description>
</rule>

実稼働環境での使用例

Vulnerability ProtectionDeep Securityには、数十種類の一般的なアプリケーションに対応した、多数の初期設定のセキュリティログ監視ルールが含まれています。新しいルールは、セキュリティアップデートを使用して定期的に追加できます。セキュリティログ監視ルールでサポートされるアプリケーションが増えても、サポート対象外のアプリケーションやカスタムアプリケーション用のカスタムルールを作成することが必要な場合があります。

ここでは、Microsoft SQLデータベースをデータリポジトリとして使用するMicrosoft Windows Server IIS .NETプラットフォームでホストされる、カスタムCMS (コンテンツ管理システム) の作成について説明します。

最初に、次に示すアプリケーションログの属性を特定します。

1. アプリケーションログを記録する場所
2. ログファイルのデコードに使用できるセキュリティログ監視デコーダ
3. ログファイルメッセージの一般的な形式

ここで示すカスタムCMSの例では、次のようになります。

1. Windowsイベントビューア
2. Windowsイベントログ (eventlog)
3. Windowsイベントログ形式 (次のコア属性を使用)
   • ソース: CMS
   • カテゴリ: なし
   • イベント: <アプリケーションイベントID>

次に、アプリケーションの機能別にログイベントのカテゴリを特定し、そのカテゴリを監視用のカスケードグループの階層に分類します。監視対象のすべてのグループでイベントを発生させる必要はありません。一致する項目を条件文として使用できます。各グループについて、ルールで照合条件として使用できるログ形式の属性を特定します。これは、すべてのアプリケーションログの、ログイベントのパターンおよび自然分類を調べることによる逆の方法で実行できます。

たとえば、CMSアプリケーションは、セキュリティログ監視ルールの作成対象である次の機能をサポートします。

• CMSアプリケーションログ (ソース: CMS)
  • 認証 (イベント: 100～119)
    • ユーザログインの成功 (イベント: 100)
    • ユーザログインの失敗 (イベント: 101)
    • 管理者ログインの成功 (イベント: 105)
    • 管理者ログインの失敗 (イベント: 106)
  • 一般エラー (種類: エラー)
    • データベースエラー (イベント: 200～205)
    • ランタイムエラー (イベント: 206～249)
  • アプリケーション監査 (種類: 情報)
    • コンテンツ
      • 新しいコンテンツの追加 (イベント: 450～459)
      • 既存のコンテンツの変更 (イベント: 460～469)
      • 既存のコンテンツの削除 (イベント: 470～479)
    • 管理
      • ユーザ
        • 新しいユーザの作成 (イベント: 445～446)
        • 既存のユーザの削除 (イベント: 447～449)

これは、ルール作成に役立つ基本的な構造です。次に、Vulnerability ProtectionDeep Security Managerで新しいセキュリティログ監視ルールを作成します。

新しいCMSセキュリティログ監視ルールを作成するには

1. Vulnerability ProtectionDeep Security Managerで、[ポリシー]→[共通オブジェクト]→[ルール]→[セキュリティログ監視ルール] に進み、[新規]→[新しいセキュリティログ監視ルール…] をクリックして [新しいセキュリティログ監視ルールのプロパティ] 画面を表示します。
2. 新しいルールの名前と説明を指定し、[コンテンツ] タブをクリックします。
3. 新しいカスタムルールを作成する最も簡単な方法は、基本ルールテンプレートを使用することです。[基本ルール] オプションを選択します。
4. [ルールID] フィールドには、未使用のID番号 (100,000以上) が自動的に入力されます。これは、カスタムルール用に予約されたIDです。
5. [レベル] を [低 (0)] に設定します。
6. ルールに適切なグループ名を指定します。ここでは「cms」とします。
7. ルールの簡単な説明を入力します。
   
   

8. 次に、[カスタム (XML)] オプションを選択します。「基本」ルール用に選択したオプションがXMLに変換されます。
   
   

9. 次に、[ファイル] タブをクリックし、[ファイルの追加] ボタンをクリックして、ルールを適用するアプリケーションログファイルおよびログの種類を追加します。ここでは、「Application」、およびファイルの種類として「eventlog」を選択します。
   
   
   eventlogは、Vulnerability ProtectionDeep Security固有のファイルの種類です。この場合、ログファイルの場所と名前を指定する必要はありません。その代わりに、Windowsイベントビューアに表示されるログの名前を入力してください。ファイルの種類がeventlogの場合の他のログの名前は、「Security」、「System」、「Internet Explorer」、またはWindowsイベントビューアに表示されるその他のセクションになる可能性があります。その他のファイルの種類の場合は、ログファイルの場所と名前が必要です(ファイル名の照合にはC/C++ strftime() 変換指定子を使用できます。その他の役立つ変換指定子については、以降の表を参照してください)。

10. [OK] をクリックして基本ルールを保存します。
11. 作成された基本ルールのカスタム (XML) を使用すると、以前に特定されたログのグループに基づいて、グループへの新しいルールの追加を開始することができます。基本ルールの条件は初期ルールに設定します。次の例では、ソース属性が「CMS」のWindowsイベントログが、CMS基本ルールによって特定されています。

    <group name="cms">
    	<rule id="100000" level="0">
    		<category>windows</category>
    		<extra_data>^CMS</extra_data>
    		<description>Windows events from source 'CMS' group messages.</description>
    	</rule> 
    

12. 次に、特定されたロググループから後続のルールを作成します。次の例では、認証とログインの成功および失敗を特定し、イベントIDごとにログを記録します。

    <rule id="100001" level="0">
    	<if_sid>100000</if_sid>
    	<id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
    	<group>authentication</group>
    	<description>CMS Authentication event.</description>
    </rule>
     
    <rule id="100002" level="0">
    	<if_group>authentication</if_group>
    	<id>100</id>
    	<description>CMS User Login success event.</description>
    </rule>
    
    <rule id="100003" level="4">
    	<if_group>authentication</if_group>
    	<id>101</id>
    	<group>authentication_failure</group>
    	<description>CMS User Login failure event.</description>
    </rule>
    
    <rule id="100004" level="0">
    	<if_group>authentication</if_group>
    	<id>105</id>
    	<description>CMS Administrator Login success event.</description>
    </rule>
    
    <rule id="100005" level="4">
    	<if_group>authentication</if_group>
    	<id>106</id>
    	<group>authentication_failure</group>
    	<description>CMS Administrator Login failure event.</description>
    </rule>

13. 次に、設定済みのルールを使用して、任意のコンポジットルールまたは相関ルールを追加します。次の例は、重要度の高いコンポジットルールを示しています。このルールは、ログインの失敗が10秒間に5回繰り返されたインスタンスに適用されます。

    <rule id="100006" level="10" frequency="5" timeframe="10">
    	<if_matched_group>authentication_failure</if_matched_group>
    	<description>CMS Repeated Authentication Login failure event.</description>
    </rule>

14. すべてのルールの重要度レベルが適切かどうかを確認します。たとえば、エラーログの重要度はレベル5以上でなければなりません。情報ルールの重要度は低くなります。
15. 最後に、新しく作成されたルールを開き、[設定] タブをクリックして、カスタムルールのXMLをルールフィールドにコピーします。[適用] または [OK] をクリックして変更内容を保存します。

ポリシーまたはコンピュータにルールが割り当てられると、セキュリティログ監視エンジンは、指定されたログファイルの監視をすぐに開始します。

完成したカスタムCMSセキュリティログ監視ルール:

<group name="cms">

	<rule id="100000" level="0">
		<category>windows</category>
		<extra_data>^CMS</extra_data>
		<description>Windows events from source 'CMS' group messages.</description>
	</rule>

	<rule id="100001" level="0">
		<if_sid>100000</if_sid>
		<id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
		<group>authentication</group>
		<description>CMS Authentication event.</description>
	</rule>
	 
	<rule id="100002" level="0">
		<if_group>authentication</if_group>
		<id>100</id>
		<description>CMS User Login success event.</description>
	</rule>
	 
	<rule id="100003" level="4">
		<if_group>authentication</if_group>
		<id>101</id>
		<group>authentication_failure</group>
		<description>CMS User Login failure event.</description>
	</rule>
	 
	<rule id="100004" level="0">
		<if_group>authentication</if_group>
		<id>105</id>
		<description>CMS Administrator Login success event.</description>
	</rule>
	 
	<rule id="100005" level="4">
		<if_group>authentication</if_group>
		<id>106</id>
		<group>authentication_failure</group>
		<description>CMS Administrator Login failure event.</description>
	</rule>
	 
	<rule id="100006" level="10" frequency="5" timeframe="10">
		<if_matched_group>authentication_failure</if_matched_group>
		<description>CMS Repeated Authentication Login failure event.</description>
	</rule>
	 
	<rule id="100007" level="5">
		<if_sid>100000</if_sid>
		<status>^ERROR</status>
		<description>CMS General error event.</description>
		<group>cms_error</group>
	</rule>
	 
	<rule id="100008" level="10">
		<if_group>cms_error</if_group>
		<id>^200|^201|^202|^203|^204|^205</id>
		<description>CMS Database error event.</description>
	</rule>
		
	<rule id="100009" level="10">
		<if_group>cms_error</if_group>
		<id>^206|^207|^208|^209|^230|^231|^232|^233|^234|^235|^236|^237|^238|
			^239^|240|^241|^242|^243|^244|^245|^246|^247|^248|^249</id>
		<description>CMS Runtime error event.</description>
	</rule>
	 
	<rule id="100010" level="0">
		<if_sid>100000</if_sid>
		<status>^INFORMATION</status>
		<description>CMS General informational event.</description>
		<group>cms_information</group>
	</rule>
	 
	<rule id="100011" level="5">
		<if_group>cms_information</if_group>
		<id>^450|^451|^452|^453|^454|^455|^456|^457|^458|^459</id>
		<description>CMS New Content added event.</description>
	</rule>
	
	<rule id="100012" level="5">
		<if_group>cms_information</if_group>
		<id>^460|^461|^462|^463|^464|^465|^466|^467|^468|^469</id>
		<description>CMS Existing Content modified event.</description>
	</rule>
	 
	<rule id="100013" level="5">
		<if_group>cms_information</if_group>
		<id>^470|^471|^472|^473|^474|^475|^476|^477|^478|^479</id>
		<description>CMS Existing Content deleted event.</description>
	</rule>
	 
	<rule id="100014" level="5">
		<if_group>cms_information</if_group>
		<id>^445|^446</id>
		<description>CMS User created event.</description>
	</rule>
 
	<rule id="100015" level="5">
		<if_group>cms_information</if_group>
		<id>^447|449</id>
		<description>CMS User deleted event.</description>
	</rule>
 
</group>

セキュリティログ監視ルールの重要度レベルと推奨される使用法

strftime() 変換指定子

詳細については、次のWebサイトを参照してください。

www.php.net/strftime
www.cplusplus.com/reference/clibrary/ctime/strftime.html