20191103_YamatoSecurity_SecurityIncidentDetectionWithAzure_public
•
2 likes•704 views
AzureのSecurity Center、LogAnalytics、Sentinelの紹介と検知例
Recommended
More Related Content
What's hot
What's hot (19)
Similar to 20191103_YamatoSecurity_SecurityIncidentDetectionWithAzure_public
Similar to 20191103_YamatoSecurity_SecurityIncidentDetectionWithAzure_public (20)
Recently uploaded
Recently uploaded (8)
20191103_YamatoSecurity_SecurityIncidentDetectionWithAzure_public
- 1. Security Incident Detection With Azure 大和セキュリティ MAIR忍者チャレンジ in EDO 2019.11.03
- 2. 1 名前：飯島 憂 @Rikunchuu 所属：神戸デジタル・ラボ セキュリティ事業部 DFIRチーム（&KDL-SIRT） やってること： Incident Response & Digital Forensics マウスが勝手に動くよ～ >< というインシデント？から数千台の端末がマルウェアに感染し てしまったインシデントまで日々いろいろな事件と戦ってます。 好き：キャンプ、バイク、ゲーム 自己紹介
- 3. 2 強そう！！！１
- 5. 4 よくサイバーセキュリティは攻撃者が有利といいます ただし、攻撃に気づくことはそこまで難しいことではありません 攻撃者は、製品のバイパスには熱心ですが、めちゃくちゃ足跡を残しています 攻撃者の痕跡
- 11. 10 セキュリティ is 怖くない • まずはシステム/ネットワークのアセット・コンポーネントをしっかり把握する • 攻撃者の活動は、システムの運用で発生するはずがない痕跡を残す • システムは僕らの城です、攻撃者をあぶりだそう ディフェンス側も有利な点は多い！ と、言われても… • ログをずっと監視できないんですけど？ • 確かに怪しいけど、他にも怪しい動きをどうやって気づく？ • ログの監視基盤をそんなすぐ作れるわけないだろ、いい加減にしろ！ と思うじゃん？
- 17. 16 SORRY…
- 21. 20 暗号化されてしまったいくつかの端末を調査したところ、全端末にAzureのサーバからログ オンされた痕跡が見つかりました。 被害が広まってしまった原因 • 推測しやすいパスワードが設定されていた • Azure上のサーバでRDPをアクセス制御なしでインターネットに公開してしまっていた • Azure上のサーバから社内ネットワークへのアクセス制御をしていなかった • 各端末のホストFWは無効になっていた 攻撃の流れ • RDPの総当たり攻撃によって侵入される • より強い権限を奪取するためにサーバに潜伏し、定期的にパスワード奪取を試みる • 奪取した特権アカウントを使ってネットワークを探索し、ランサムウェアの展開 • 一気に暗号化を行い大ダメージを与える これらの攻撃を再現してみました インシデントの内容
- 22. 21 被害が広まってしまった原因 • 推測しやすいパスワードが設定されていた • 強固なパスワードの仕様 • 重要なサーバに関してはMFAの仕様 • Azure上のサーバでRDPをアクセス制御なしでインターネットに公開してしまっていた • 今回のケースで言えば、アクセス元の制御をすればOK • Azure上のサーバから社内ネットワークへのアクセス制御をしていなかった • OutBoundはあまり注目されませんが、セキュリティグループでアウトバウンドを絞る • 侵害されたとしても、影響範囲を軽減 • 各端末のホストFWは無効になっていた • 有効にして そもそも予防できるのでは？ 皆さんが当たり前にしている（であろう）運用がとても大事 基本的な管理・対策がセキュリティの基盤を作ります！ そのうえで、SecurityCenterのような検知のツールを使えば、 被害が広がる前に攻撃者の普通ではない行動をとらえられます
- 23. 22 Azure Security Center は、データ センターのセキュリティ体制を強化する統合インフラス トラクチャ セキュリティ管理システムです。Azure 内かどうかにかかわらずクラウド内とオ ンプレミス上のハイブリッド ワークロード全体を保護する高度な脅威防止機能があります。 Security Center はネイティブで Azure の一部なので、Service Fabric、SQL Database、 ストレージ アカウントなどの Azure に含まれる PaaS サービスは、デプロイすることなく Security Center で監視および保護されます。 さらに、Security Center によって、クラウド内またはオンプレミス上にある Azure 以外の サーバーおよび仮想マシンが保護されます。Microsoft Monitoring Agent をインストールす ることで、Windows サーバーと Linux サーバーのどちらにも対応できます。 Azure 仮想マ シンは、Security Center 内に自動プロビジョニングされます。 機能 • ポリシーとコンプライアンス • リソース セキュリティの検疫 • 高度なクラウド防御 • 脅威の防止 Azure Security Center Azure Security Center 概要 https://docs.microsoft.com/ja-jp/azure/security-center/security-center-intro
- 24. 23 Azure Security Center Azure Security Center 概要 https://www.slideshare.net/ssuser147cbc/azure-security-center-107803047 Security Center から LogAnalyticsにも
- 28. 27 暗号化されてしまったいくつかの端末を調査したところ、全端末にAzureのサーバからログ オンされた痕跡が見つかりました。 被害が広まってしまった原因 • 推測しやすいパスワードが設定されていた • Azure上のサーバでRDPをアクセス制御なしでインターネットに公開してしまっていた • Azure上のサーバから社内ネットワークへのアクセス制御をしていなかった • 各端末のホストFWは無効になっていた 攻撃の流れ • RDPの総当たり攻撃によって侵入される • より強い権限を奪取するためにサーバに潜伏し、定期的にパスワード奪取を試みる • 奪取した特権アカウントを使ってネットワークを探索し、ランサムウェアの展開 • 一気に暗号化を行い大ダメージを与える これらの攻撃を再現してみました インシデントの内容
- 33. 32 総当たり攻撃の検知
- 38. 37 Azure Security Center ファイルの整合性の監視
- 39. 38 ファイル整合性を有効にすれば、永続化の検知もできそう Azure Security Center ファイルの整合性の監視
- 42. 41 Azure Log Analytics https://docs.microsoft.com/ja-jp/azure/azure-monitor/log-query/logs-structure Log Analytics内にスキームがあり、スキームはデータソースごとに分かれている Security Centerで生成されたアラートなどのイベントは「SecurityEvent」
- 45. 44 Kusto Query Languageでログを分析できる（Splunkユーザーはすぐ馴染めそう） Azure Log Analyticsのクエリ
- 46. 45 Kusto Query Languageでログを分析できる（Splunkユーザーはすぐ馴染めそう） Azure Log Analyticsのクエリ
- 47. 46 Kusto Query LanguageとSplunk Search Processing Language https://github.com/MicrosoftDocs/azure-docs.ja-jp/blob/master/articles/azure-monitor/log- query/splunk-cheatsheet.md
- 49. 48 ホスト名・アカウント名の組み合わせで集計したログから、アカウント名だけで更にcount => 単一のアカウントが複数のホスト上でログオンを失敗しているか調査 多数のログオン失敗が記録されている場合は総当たり等攻撃が仕掛けられている可能性 Azure Log Analyticsのクエリ
- 54. 53 Microsoft Threat Modeling Tool Log Analyticsでルール作るの大変… => Azure Sentinel まさにAzure on SIEM！今年の9/24に一般公開
- 58. 57 全てのSIEMに言えることですが、まずは基本的な資産管理・セキュリティ対策をしている と、より効果的に活用できます。 完全に攻撃を防ぐのは無理でも、攻撃者が侵害する際の行動が増える = 検知するための異 常なアクティビティを多く発生させることができます。そうすれば、よりこういった検知 ツールを活用することができるはずです。 まとめ Azureの分析基盤を活用することで、準備に時間をかけずイベントログからインシデントを 検知できる。MSの知見があるため、やはりWindowsとの親和性は高い。 エージェントを入れるだけでThreat Huntingやログ分析を実施できるので、これから試し てみたい方にはいい選択肢になりそう。 • Azure Security Center • まずはこれを使うだけでも多くのアクティビティを検出できる • 外部のSIEMにログを転送できるため、Azure上リソースのログソースとして利用 • Azure Log Analytics • 自身である程度ルールを書きたい場合はこちらで様々な分析が可能 • JPCERT/CCのCC攻撃者が悪用するWindowsコマンドを検知するなど • Azure Sentinel • より本格的なIRの環境を求める場合に • また、デフォルトのThreat Huntingクエリで検知のロジックを学習できる