ログはどうしたら使い物になるのか。 ログを活用するための考え方とは？ ～「宝の山」を「ゴミの山」に変えないために～

Transcription

1 統合ログ管理システム Logstorage による AWSシステムの監査 可視化 インフォサイエンス株式会社 プロダクト事業部 Infoscience Corporation Tel: Fax:

2 Contents 1. AWSにおけるログ 管 理 2. 統 合 ログ 管 理 システム Logstorage と Logstorage for AWS 3. AWS 上 のログの 活 用 - AWS CloudTrail - AWS Config - Amazon CloudWatch Logs - Billing 4. Logstorage for AWS 導 入 事 例 - cloudpack(アイレット 株 式 会 社 ) 様 - サイトロック 株 式 会 社 様 - インフォサイエンス 株 式 会 社 2

3 インフォサイエンス 株 式 会 社 設 立 1995 年 10 月 代 表 者 宮 紀 雄 < 開 発 から 運 用 までの 業 務 フェーズ 概 要 > 事 業 内 容 パッケージソフトウェア Logstorage シリーズの 開 発 データセンタ 運 営 受 託 システム 開 発 サービス 包 括 システム 運 用 サービス 所 在 地 東 京 都 港 区 芝 浦 2 丁 目 4 番 1 号 インフォサイエンスビル システム 運 用 から 生 まれたパッケージソフトウェア 3

4 AWS 環 境 におけるログ 管 理 4

5 ログ管理の目的 様々なルールや脅威への対応のために ログの管理が行われている 個人情報保護法 金融商品取引法 国際ペイメントブランド/PCI DSS 不正アクセス禁止法 APT/標的型攻撃 マイナンバー/番号法 経産省/クラウドセキュリティガイドライン プライバシーマーク 情報漏洩 内部犯行 ISO27001/ISMS サイバー犯罪捜査 ログ の管理 モニタリングは 今や 情報セキュリティの中心的な対策となっている 5

6 AWS上のログ取得のポイント AWS上に点在するログと取得サービス AWS CloudTrail AWSサービスに対するアクセスログを記録 例 AWS利用グループ,ユーザの作成/削除/権限変更 EC2インスタンスの作成/停止/削除 AWS管理画面(Management Console)へのログイン AWS Config Network ACL Management Console Security Group AWSサービスの構成変更ログを記録 例 EC2インスタンスタイプの変更 AIMロールの変更 AWS CloudWatch Logs AWS CLI AWS SDK Applications ELB EC2 RDS VPC subnet EC2インスタンス内のアクセスログを記録 例 Windowsイベントログ Linux syslog (/var/log/ 配下のログ等) その他 テキストログ AWS CloudWatch Logs (VPC Flow Logs) Network ACL / Security Group の通信ログを記録 Network Interface単位でのACCEPT/REJECTログ 左記のサービスのログにより AWS 上のあらゆるアクティビティの監査 監視が可能に!! 6

7 AWS上のログ分析における課題 AWS上のログ分析における課題 １ ログがS3バケットに細かい単位で出力されたり APIを利用しないと取得 できないログがある ２ ログがJSON形式で記録されるため そのままでは使えない ３ CloudTrail に記録されるログの種類が多岐に渡り どのようにログを監査 したらよいかわからない ４ AWSサービスのリリーススピードが速いため 上記の課題に対して継続的 に対応していかなければならない ５ AWSサービスの意図しない動作もあり それを回避する仕組みも一部必要 AWSのログ関連サービスに対応する ログ管理システムのニーズが高まっている 7

8 統合ログ管理 と SIEM SIEM (Security Information & Event Management) SIEMと言えばリアルタイムのセキュリティイベント検知を主眼にしたツールを指し 統合ログ管 理ツールとは別ジャンルとされることが多い ログの蓄積と分析に重きを置くのが統合ログ管理ツー ル 現在は国産製品が中心に導入が進んでいる であり 標的型攻撃など新しい脅威への対策に有効 だが長期にわたる時間軸での分析には向かないのが 現在海外製品を中心に注目されているSIEMツー ルと考えればよいだろう キーマンズネット 不正行為も一目瞭然 統合ログ管理ツール URL : 統合ログ管理 監査 SIEM SOC 8

9 統 合 ログ 管 理 システム Logstorage と Logstoarge for AWS 9

10 統合ログ管理システム Logstorage Logstorage とは あらゆる場所 フォーマットで点在するログを管理 分析する 純国産の統合ログ管理シス テムです 内部統制 情報漏えい対策 サイバー攻撃対策 システム運用監視 業務効率改 善など 多様な目的に対応できる 統合ログ分野でのデファクトスタンダード製品です 9年連続市場シェアNo.1 1,900社への導入実績 Logstorage 46.8% 出典 ミック経済研究所 情報セキュリティソリューション市場の 現状と将来展望2015(統合ログ管理市場) 10

11 機 能 システム 構 成 ログ 収 集 機 能 [ 受 信 機 能 ] Syslog / FTP(S) / 共 有 フォルダ / SNMP [ログ 送 信 取 得 機 能 ] Agent EventLogCollector SecureBatchTransfer ログ 保 管 機 能 ログの 圧 縮 保 存 / 高 速 検 索 ログの 改 ざんチェック 機 能 ログに 対 する 意 味 (タグ) 付 け ログの 暗 号 化 保 存 保 存 期 間 を 経 過 したログを 自 動 アーカイブ ログの 保 存 領 域 管 理 機 能 ログ 検 知 機 能 ポリシーに 合 致 したログのアラート ポリシーはストーリー 的 に 定 義 可 能 (シナリオ 検 知 ) <Logstorage システム 構 成 > 検 索 集 計 レポート 機 能 ログの 検 索 / 集 計 /レポート 生 成 検 索 結 果 に 対 する クリック 操 作 による 絞 込 み レポートの 定 期 自 動 実 行 (HTML/PDF/CSV/TXT/XML) レポートの 出 力 形 式 のカスタマイズ 11

12 ログ収集実績 連携製品 日本国内で利用されているソフトウェア 機器を中心に250種以上のログ収集実績 OSシステム イベント Web/プロキシ ネットワーク機器 Windows Solaris AIX HP-UX Linux BSD Apache IIS BlueCoat i-filter squid WebSense WebSphere WebLogic Apache Tomcat Cosminexus Oracle SQLServer DB2 PostgreSQL MySQL Cisco PIX/ASA Cisco Catalyst NetScreen/SSG PaloAlto PA VPN-1 Firewall-1 Check Point IP SSL-VPN FortiGate NOKIA IP Alteon SonicWall FortiGate BIG-IP IronPort ServerIron Proventia データベース監査 メール PISO Chakra SecureSphere DMG/DSG SSDB監査 AUDIT MASTER IPLocks Guardium MS Exchange sendmail Postfix qmail Exim AWS CloudTrail AWS Config AWS CloudWatch Logs VMware vcenter SAP R/3 (ERP) NetApp (NAS) ex-sg (入退室管理) MSIESER isecurity Desk Net s HP NonStop Server クライアント操作 LanScope Cat InfoTrace CWAT MylogStar IVEX Logger 秘文 SeP QND/QOH Logstorage アライアンス製品 データベース サーバアクセス ALogコンバータ VISUACT File Server Audit CA Access Control Amazon Web Service SKYSEA Client View LanScope Cat SecureCube / AccessCheck CWAT Sendmail InfoTrace Auge AccessWatcher SmartOn ARCACLAVIS MylogStar IVEX Logger シリーズ 運用監視 アンチウィルス i-filter MaLion3 SecurePrint! VISUACT Nagios JP1 Systemwalker OpenView Symantec AntiVirus TrendMicro InterScan McAfee VirusScan HDE Anti Vuris Chakra File Server Audit Lotus Domino 複合機 SSDB監査 監査れポータル AUDIT MASTER PISO ICカード認証 Revo Lotus Domino Notes AccessAnalyzer2 Auge AccessWatcher imagerunner Apeos SecurePrint! その他 その他 Palo Alto Networks next-generation firewalls 12

13 AWSに特化した Logstorage for AWS Logstorage for AWSは AWS上で生成されるあらゆるログデータを 収集 解析 保管 検索 分析 レポー ト するための 統合ログ管理ツールです AWS上のリソースのライフサイクルの管理 コンプライアンス準拠 セ キュリティ分析 運用上のトラブルシューティングなど 幅広く活用することができます 収集 解析 AWSの各サービスからのログ自動収集 JSON形式のログの解析 変換 保管 ログの圧縮保存 高速検索機能 ログの暗号化 改ざんチェック機能 ログの自動アーカイブ機能 検索 分析 ログの検索 集計 レポート 検索結果からクリック操作による絞込み レポートの定期自動出力 13

14 AWS上のログの活用 - AWS CloudTrail - AWS Config - Amazon CloudWatch Logs - Billing 14

15 AWS CloudTrail AWS CloudTrail とは AWS CloudTrail は アカウントの AWS API の呼び出しを記録し ログファイルを送信するウェブ サービスです 記録される情報には API 呼び出し元の ID API 呼び出し元のソース IP アドレス リクエストのパラメータ および AWS サービスから返された応答の要素が含まれます CloudTrail を使用すると アカウントの AWS API の呼び出し履歴を取得できます 履歴には AWS マネジメントコンソール AWS SDK コマンドラインツールを使用した API の呼び出しが含まれま す Logstorage for AWS でのログ収集方式 (収集方式1) CloudTrailの通知を利用 (収集方式2) S3のPutイベントを利用 15

16 AWS CloudTrail ログのモニタリング観点 Logstorage for AWS CloudTrail レポート例 CloudTrail の停止 削除 設定変更 EC2の作成 意図しないEC2のTerminate ユーザアカウントの作成 IAMポリシーの付与 削除 AWS Management Consoleログイン NetWorkACLの変更 ポートの解放 Security Groupの変更 ポートの解放 突合せ 基準 ルール ネットワーク構成の変更 意図しない接続元からのアクセス 特権ユーザでのアクセス 許可されていない権限のアクセス 16

17 レポート例 承認されていないインスタンス の生成 起動は無いか 誤ったインスタンスの 削除は無いか 誤ったインスタンスの 停止は無いか 管理コンソールに 不正に アクセスされていないか 17

18 レポート例 承認されていないオブジェクト が生成されていないか 承認されていないユーザから のアクセスは無いか 誤ってオブジェクトが削除 されていないか 不明な接続元は無いか? 18

19 AWS上のログの活用 - AWS CloudTrail - AWS Config - Amazon CloudWatch Logs - Billing 19

20 AWS Config Partner - Logstorage AWS Config Partner / AWS Official Blog にて紹介 URL: 20

21 AWS Config AWS Config とは AWS Config とは セキュリティとガバナンスを可能にする構成変更の通知 構成履歴 AWS リソ ースのインベントリーをお客様へ提供する完全マネージド型のサービスです AWS Config から 既 存の AWS リソースの検出 設定の詳細をすべて含めたお客様の AWS リソース一覧表のエクスポー トが可能となり どの時点でどのようにリソースが設定されたかを確認できます これらの機能は コンプライアンス監査 セキュリティ分析 リソース変更の追跡 トラブルシューティングを可能に します Logstorage for AWS でのログ収集方式 21

22 リソース関連図レポート 構成スナップショットレポートサンプル 開発中 スナップショットをわかりやすく図示 一目でAWSの構成が把握可能 22

23 リソース 関 連 図 レポート Logstorage for AWS 新 機 能 構 成 スナップショットレポートサンプル( 開 発 中 ) 23

24 リソース関連図レポートに出力可能なオブジェクト 構成スナップショットレポートサンプル 開発中 分類 オブジェクト Amazon EC2 EC2インスタンス RDS / ELB / Auto Scalingグループは? EC2 Network Interface EC2 Elastic IP Amazon VPC カスタマーゲートウェイ インターネットゲートウェイ ルートテーブル サブネット VPC VPNゲートウェイ VPN接続 Amazon EBS 汎用(SSD)ボリューム プロビジョンド IOPS(SSD)ボリューム マグネティックボリューム 24

25 AWS上のログの活用 - AWS CloudTrail - AWS Config - Amazon CloudWatch Logs - Billing 25

26 Amazon CloudWatch Logs Amazon CloudWatch Logs とは Amazon CloudWatch Logs を使用して Amazon Elastic Compute Cloud (Amazon EC2) イン スタンス AWS CloudTrail またはその他のソースのログファイルの監視 保存 アクセスがで きます その後 Amazon CloudWatch コンソール AWS CLI の CloudWatch Logs コマンド CloudWatch Logs API または CloudWatch Logs SDK を使用して CloudWatch Logs から関 連ログデータを取得できます Logstorage for AWS でのログ収集方式 VPC Flow Logs 26

27 Amazon CloudWatch Logs ログのモニタリング Amazon CloudWatch Logs ログのモニタリング観点 Windows/Linux イベントログの消去 権限昇格履歴 システム時刻変更 管理者権限の操作 パスワード変更履歴 ログイン成功 失敗 監査ポリシー変更履歴 突合せ 基準 ルール 突合せ 過去の 利用状況 その他 各種テンプレートの利用が可能 VPC Flow Logs 通信のACCEPT/REJECT REJECTされたプロトコル REJECTされた接続元IPアドレス REJECTされた通信 ポート 時系列での通信バイト数 全体 Interface毎 時系列での通信パケット数 全体 Interface毎 27

28 VPC Flow Logs レポート例 REJECT REJECTされた通信 の接続元は? どのような通信先/ポートに REJECTされた通信があったか REJECTされた通信 REJECTされた通信のプロトコルは? (1-ICMP / 6-TCP / 17-UDP) ACCEPT/REJECTの比率は? (REJECT通信が異常に多く無いか) 28

29 VPC Flow Logs レポート例 通信量 全体の通信バイト数 時系列 Network-Interface毎の 通信パケット数 時系列 全体の通信パケット数 時系列 Network-Interface毎の 通信バイト数 時系列 29

30 AWS上のログの活用 - AWS CloudTrail- AWS Config - Amazon CloudWatch Logs - Billing 30

31 Billing ログ分析 Logstorage for AWS 新機能 AWSの利用料金をサービス毎に可視化 AWSのBillingデータを利用し 利用金額の観点から AWSサ ービスの利用状況を把握する 既に利用していないサービスで料金が発生していないか把 握し不要なサービスを止める インスタンスタイプ毎の利用コストを把握し リザーブド インスタンスに変更する 部署 ユーザ単位での利用金額を把握し 適切な費用配賦 を行う 31

32 Logstorage for AWS 導 入 事 例 [ 事 例 1] cloudpack(アイレット 株 式 会 社 ) 様 [ 事 例 2] サイトロック 株 式 会 社 様 [ 事 例 3] インフォサイエンス 株 式 会 社 32

33 [事例1] cloudpack(アイレット株式会社)様 Logstorage導入目的 社内インフラVPC 各種セキュリティ認証の取得 (PCI DSS / ISO27001) 東品川データセンター SOC2 への取り組み 上記への対応を通じ セキュリティ への取り組みについて客観的な評価 に基づく透明性の確保 高度なセキ ュリティ体制の実現 ログ収集対象 認証サーバ Logstorage Customer gateway その他 管理サーバ Direct Connect (専用線接続) ルータ VPN装置 踏み台 サーバ ログ収集対象 ルータ 閉塞網 スイッチ 認証サーバ 東京拠点 踏み台サーバ NATインスタンス セキュリティ端末 ルータ その他 セキュリティ管理サーバ セキュリティ ネットワーク 全顧客の AWS CloudTrail ログ 全顧客の AWS Config ログ Internet セキュリティ端末 Logstorage導入環境 33

34 [事例1] cloudpack様のコメント PCI DSS認証 無償で提供されるLogstorageのPCI DSSテンプレートに は テンプレートが対応するPCI DSS要件番号が記載され ており 監査がスムーズに進んだ Logstorageは PCI DSSで求められるログの暗号化と改 ざん検出に標準機能で対応しており 別の製品と組み合わ せる必要なく対応できた PCI DSSレポートテンプレート 一部 結果 PCI DSS認証取得において ログに関する指摘事 項は無かった SOC 2報告書 Logstorageを利用したログの一元管理はSOC2対応でも 踏襲した AWSを対象としたフルマネージドサービス事業 で 国内で初めてSOC 2報告書を受領した S3 Put Eventを利用したCloudTrailログの収集 その他 LogstorageはAMIでも提供されるため インストールには殆ど手間が掛からなかった 多くのお客様のCloudTrailのログを効率的に収集するために必要だった S3 Put Event 対 応は助かった 34

35 [事例2] サイトロック株式会社様 2015年9月10日より サービス開始 35

36 [ 事 例 2] サイトロック 株 式 会 社 様 36

37 [事例3] インフォサイエンス株式会社 インフォサイエンス株式会社が提供する 包括的システム運用サービス SecureCube AccessCheck + Logstorageを導入する事で インフォサイエンスが 自社データセンター内で預かるお客様サーバ 及びAWS上のEC2インスタンス等の運用をより安全に セキュアに行うことで 各種コンプライアンス要求に対応 インフォサイエンス データセンター ログデータ連携 LogGate ログ お客様A Manager EC2インスタンス ログ Gateway VPN connection Firewall お客様B Console LogGate ログ Firewall /VPN AccessCheck EC2インスタンス 運用担当者 操作端末 Logstorage + AccessCheck によるハイブリッド環境 でのアクセス管理 ログ管理 データセンター内のサーバ 及びAWS上のEC2インスタンスに対するメンテ ナンスは 全てAccessCheck上での申請 承認を経て AccessCheckのゲー トウェイ経由でアクセスする 承認が無いアクセスは許可しない 監査担当者 操作端末 ログ データセンターのサーバ ネットワーク機器 AccessCheck 及びAWS上の EC2インスタンスのログをLogstorageに収集 統合管理し 日次で監査 AccessCheckゲートウェイを経由しない 違反アクセスなども監査 お客様サーバ 運用監視対象サーバ データセンター内のログと AWS上のログを統合管理し 1つのLogstorage コンソールにて透過的にログを監査する ハイブリッド環境においても ログの監査を容易に 37

38 お問い合わせ先 ログ管理資料 Logstorage LogstorageによるPCI DSS要件10への対応例 Logstorage for AWS Logstorageによる制御システムセキュリティ対策 標的型メール攻撃 分析 監視例 突合レポートテンプレート 試用版のお申込み マイナンバー対策で求められる 現実的なログ管理 ストレージのアクセス監査から始める統合ログ管理 統合ログ管理によるIT統制の実現とその具体的事例 その他 50を超える参考資料 情報を公開中 Logstorage に関するお問い合わせ インフォサイエンス株式会社 プロダクト事業部 TEL FAX mail : info@logstorage.com 38

39 AWS Test Drive プログラム AWS Test Drive プログラムとは AWS Test Drive は 事前設定済みのアプリケーション動作環境を 提供するサービス ユーザアカウントを登録することにより Logstorage for AWS を 無料で シナリオに沿って試用する事ができる URL: 39

40 END 統 合 ログ 管 理 システム Logstorage によるAWSシステムの 監 査 可 視 化 2015/9/16 インフォサイエンス 株 式 会 社 プロダクト 事 業 部 稲 村 大 介 40