Splunk

1. splunkによるパブリックモニターを作ってみた

2. 自己紹介
■氏名：光安 正憲（ミツヤス マサノリ）
■出身地 ： 福岡県
■お仕事 ： セキュリティ系の仕事
ーインシデントレスポンス（CSIRT）
ー脆弱性管理
■趣味 ： セキュリティの本を収集し読むこと

3. Splunkとは
収集した情報を検索し調査するツール
例：ＮＷ機器のログ分析に使用したりする

4. ここからはSplunkにTwitterと各サイトの情報
を取り入れてパブリックモニタを作成する。
※2時間ほどで作れます

5. 「App for Twitter Data」を使用することによりTwitterのデータを可視化した。
App for Twitter Data
https://splunkbase.splunk.com/app/1162/

6. Twitter API
SplunkにTwitterのメッセージログを受け取るため「Twitter API」を使用する。
※Twitter API とは外部サービスやプログラムからTwitterに対して参照、変更、検索ができるためのインターフェース
https://apps.twitter.com/

7. Twitter API
Keys and Access Tokensの下記の4つのデータを使用する。
・API Key
・API Secret
・Access Token
・Access Token Secret

8. Twitter API
Splunkに「App for Twitter Data」をアップロードし先ほど入手した、 Keys and Access
Tokensの4つのデータを入力する。
■Splunkの画面
ダウンロードした
「App for Twitter Data」を選択する

9. Twitterを使った動向調査
Twitterのデータを見ることができる
主に、新規脆弱性情報やサイバー攻撃の様子を見ている

10. RSSリーダー
https://splunkbase.splunk.com/app/278/#/overview
RSSリーダーとして「RSS Scripted Input」 を使用し、Splunkにrssを読み込めるようにした。

11. RSSリーダー追加のやり方
「ファイルからＡppをインストール」からダウンロードした「RSS Scripted Input」をアップロード、
インストールしたSplunkの配下「/etc/apps/rss/bin/feeds.txt」にページのRSSを登録
することでリアルタイムで更新されたページを知ることができる。
[splunk@web ~]$ ls /opt/splunk/etc/apps/rss/bin
feedparser.py feeds.txt rss.sh rss2.sh rssfeed2.py
feedparser.pyc rss.bat rss2.bat rssfeed.py
■Splunkの画面
■Splunkをインストールしたサーバ
ダウンロードした
「 RSS Scripted Input 」を選択する

12. 登録しているサイト
[splunk@web ~]$ ls /opt/splunk/etc/apps/rss/bin/feeds.txt に登録したいサ
イトのRSS値を張り付ける。これをやることにより、サイトが更新されるたびに、Splunkに情報
が表示される。登録しているサイトは、主に脆弱性情報を配信しているサイトとニュースサイト
である。
・セキュリティ：Itpro
・JPCERT コーディネーションセンター
・警察庁セキュリティポータルサイト@police
・piyolog
・徳丸浩の日記
・脆弱性対策情報データベースJVN iPedia
・Apache Struts 2 Documentation
など

13. 最後に
・SplunkにTwitter APIとRSSリーダーを入れることで情報の収集をすることができる
・2時間ほどで作れます
・Splunkの最新バージョンは使わないほうがいいです。
※最新バージョンは、 App for Twitter Dataがエラーが発生します。
旧SplunkURL: https://www.splunk.com/page/previous_releases