JAWSUG大阪20150523

1. DeepSecurity
でシステムを守るための運用を幾つか
by hirokazu@cloudpack.jp

2. Who am I ?
吉田 ひろかず (hirokazu yoshida)
Suport Engineer at cloudpack
http://qiita.com/fnifni

3. and more ?
・2013年7月にcloudpackにJOIN
・吉田姓ってパッとしないコンプ
・好きなサービス

4. キッカケは？
http://www.slideshare.net/YoshidaShingo/20130622-jawsug-aws

5. 大阪になんかスゴい人がいる！
（間違い）

6. しかも吉田姓！
↑ココ大事↑

7. 一緒にクラウドの仕事すれば
吉田姓の社会的地位向上に!?

8. そんなこんなで
クラウド界隈に入ったキッカケの
JAWS-UG大阪で
セキュリティ関連の話を
することになりました

9. Today’s ODAIMOKU
0. 攻撃の傾向
1. 侵入防御 ∼防御モードで安全に守る運用
2. セキュリティログ監視 ∼気配を察する運用
3. 変更監視 ∼変化を知る運用

10. Not ODAIMOKU
・ 製品紹介
・ マルチテナント環境の運用
・ アーキテクチャに係る部分
・ 攻撃の解析手法

11. 0Attack Trend

12. 実際、どれくらい攻撃が来るの？

13. 2,535

14. とある企業の侵入防御レポート(抜粋)
2015/1/1∼2/28

15. 実例1
某日23:00
多数の管理サーバに対してPHPの
脆弱性を狙った攻撃が同時多発。
検知件数およそ200件。
検出モードであったため、全台調
査の結果、影響なしと判定。

16. 実例2
2014年11月某日 19:28:46∼
20:12:08の間、”URIパスの深さが
超過”イベントを2227件検知。
DeepSecurityにて全てリセットさ
れており、サイトオープンも良好。

17. 防御モード最高

18. モードって何？

19. モードとは、侵入防御機能における
コンピュータ(サーバ)単位で設定する動作モード

20. 仮想パッチって？

21. トレンドマイクロ Q&Aページ
http://esupport.trendmicro.com/solution/ja-jp/1096610.aspx
ネットワーク経由の攻撃に有効

22. 1The distance to
Prevent mode

23. いきなり防御モードじゃ
だめなの？

24. 正常通信を誤(過)検知した場合、
通信をリセット(防御)してしまう
恐れが！

25. 実例1.
ユーザー名に日本語文字を含むアプリ通信に対して
DeepSecurityが日本語をデコードできない理由で
検知 （URIに使用できない文字）
⇓
”検出モード”で慣熟運行中であったため
影響なし
DS9.5sp1(DSaaS含む)では
デフォルトOFF

26. 実例2.
新しくリリースされた仮想パッチの不備で
mysqlへの通常通信が攻撃としてアラート検知
⇓
アップデートしたルールを検出モード適用
していたため、影響なし

27. 運用開始後の慣熟期間と
追加・更新ルールの
検出モード適用がオススメ

28. 慣熟期間中どこを見たらいいの？

29. 1. 侵入防御イベント
不正な走査
・・・HTMLの書き方が正しくない → /../aaa/bbb
SQLインジェクション、XSS関連ルール
・・・XML通信？(閾値調整)
・・・PHPでのデータベース操作？(.htaccess)
etc…

30. 2. ファイアウォールイベント
TCP最大接続数
・・・大繁盛？WebSocket張りっぱなし？
メモリ不足、メモリ割り当ての失敗
・・・インスタンス小さすぎる？大繁盛？
・・・特定通信で引っかかってる？
…etc

31. ケアした後には安全な運行が！
＞＜

32. 防御モードにしたら、
DSにお任せでいい…よね？

33. だがちょっと待ってほしい！
AA自粛

34. 追加・更新ルールは
「手動適用」で「検出モード適用」
「自動適用」では「検出モード適用」が
できないのです。。。

35. ちなコレ

36. 手動適用と自動適用の比較

37. メリット デメリット
手動適用 ・検出のみ適用ができる
・手間がかかる
・実行するまで適用されない
自動適用 ・新しい脅威に迅速に対応
・更新/追加ルールがいきなり
防御モード(誤検知の恐れ)
・自動適用されない物もある

38. 最終的には運用してみてからの
匙加減＞＜

39. XNow Back to the Story ...

40. 4,196

41. 結局、どれ使ったらいいの？

42. 推奨設定の検索を使いましょう
トレンドマイクロ Q&Aページ
http://esupport.trendmicro.com/solution/ja-jp/1311156.aspx

43. 推奨以外のルールもあります
1000608 - Generic SQL Injection Prevention
1000552 - Generic Cross Site Scripting(XSS) Prevention
etc..
特殊用途・調整が難しいものが多いので
ご利用は計画的に…

44. 2Omen Detection

45. セキュリティログ監視って
DeepSecurity9.5 SP1 管理者ガイド
http://files.trendmicro.com/jp/ucmodule/tmds/95Sp1/
Deep_Security_95_SP1_Admin_Guide_JP.pdf

46. 攻撃成功までには
予兆があります

47. 3,256

48. とある企業のセキュリティログ監視レポート(抜粋)
2015/1/1∼2/28

50. 状況を知ることができれば
落ち着いて対処できます。

51. これも推奨設定の検索で
いい感じにやってくれるの？

52. 1. 推奨をそのまま使うと…
予期せぬ無風状態
・・・見当違いの場所を監視してた
予期せぬ大量アラート
・・・レスポンスコード4xxとか5xxとか
・・・正規のsyslog形式(size)ではないとか

53. 2. 環境に応じた設定が必要
アクセスログの監視には注意が必要
・・・本当に必要？
・・・監視するなら内容を取捨選択
一部メッセージの重要度設定の変更
監視対象ログファイルパスの指定
・・・エラー出ます。最悪空振りします。

54. 「全部入り」なので
運用しながら調整しましょう

55. 3Detection of the change

57. これで大丈夫…？
大丈夫？

58. 残念ながらDeepSecurityは
神様じゃないのです＞＜

59. 守れないケース
ルール外の攻撃
・・・ルール未適用、ゼロデイ攻撃
正常通信を通すための緩和措置の影響
・・・過剰なバイパス、閾値の過剰緩和
正規ルートでのローカル侵入
・・・秘密 漏洩、パスワード認証突破
アプリケーションロジックの不備

60. 変更監視で気付きましょう！

61. 監視対象とリアルタイム検知
トレンドマイクロ Q&Aページ
http://esupport.trendmicro.com/solution/ja-jp/1310032.aspx

62. これは推奨設定の検索で
いい感じにやってくれる
…のかな？

63. 残念ながら
全部入りであるが故に大量に検知する場合が
・・・ポートの変更の検知（SSH等）
・・・システム的動作の検知（プロセス状態）
変更は全て検知される
・・・WindowsUpdateで大量の変更検知
・・・コンテンツ更新も全て検知
・・・良い変更と悪い変更の区別はない

64. 用意されているルールは
ちょっと使いにくいです＞＜

65. 今のところの現実解（1）
Windowsはまだ使えます
・・・一部ルールの調整
1002781 - Microsoft Windows - Attributes of a service modified
1006076 - Task Scheduler Entries Modified
1003138 - Microsoft Windows - Active Directory
…etc

66. 今のところの現実解（2）
Linuxは、カスタムルールで調整
・・・管理者ガイドに細かく載ってます！
http://downloadcenter.trendmicro.com/index.php?
regs=jp&clk=latest&clkval=4703&lang_loc=13
・・・カスタムルールの問い合わせは有償＞＜

67. 今のところの現実解（3）
WindowsUpdateの際は、一時無効化
・・・システムから切り離せばリスク低減
変更の前後で変更検索タスクを手動実行
・・・変更実施のタイミングを明確化
・・・それ以外の変更は悪と判定

68. 運用チームと構築チームの
コミュニケーションが大事

69. ところで
どこがどう変更されたか
判るの？

70. レポートが便利です
変更監視の詳細な変更レポート

71. レポートのポイント
文字列ベースでの変更内容は分からない
・・・変更内容はdiff等で別途取得が必要
変更検索タスクの実行時間が検知時間
・・・実際の変更時間は「詳細」を参照

72. 注意！
タスク実行の間隔を短くすると思わぬ事態に
・・・負荷上昇（Agent側で演算）
・・・タスクが終わらない（処理重複）
変更監視の対象は絞って！
・・・広すぎる変更監視対象は不幸しかない
・・・常時変更される場所は除外

73. まとめ
・防御モードはDSの真骨頂
・検出モードで慣熟期間を設けて様子見
・防御モード移行後は、アップデートに注意
・侵入防御＞セキュリティログ監視＞変更監視
・運用が厳しいなら、ある程度の割り切りもアリ
・お任せし過ぎず、様子を見ながら。

74. 環境に合せて設定を育てて
いい感じの運用に落とし込む
PDCAサイクルが必要

75. Thanks!
and
Let’s Try!