Download as PDF, PPTX
Uploaded byElasticsearch
脅威検知を自動化し、誤検知を回避する
Elasticセキュリティの検知エンジンを使うと、誤検知のノイズを回避しながら脅威を検知できます。また、実際の事例を交えながら、相関付けと機械学習で脅威検知を自動化する手法をご紹介します。
![Modernising One Legal Se@rch with Elastic Enterprise Search [Customer Story]](https://cdn.slidesharecdn.com/ss_thumbnails/modernisingonelegalserchwithelastic-jsedit14thjune2021-210625013449-thumbnail.jpg?width=640&height=640&fit=bounds)
脅威検知を自動化し、誤検知を回避する
- 1. 1 ElasticON Security Koji 河村 EducationEngineer, Elastic 脅威検知を自動化する
- 2.
- 3. 5 1B 5 データドメイン 担当者はホスト、クラウ ド、ネットワークデバイ ス、アプリ性能、ユーザ などを分析 1日のイベント件数 多くの組織では1日平均 10億のイベントが発生 SOC アナリスト セキュリティオペレー ションセンター SOC の規模は様々だが多く は五名未満 データジレンマ
- 4.
- 5.
- 6.
- 7. 検知エンジン 検索と同じくらい簡単。 • Elasticsearch のスピードとスケールで既 知、未知の脅威を検知 •クエリ KQL/DSL 、マシンラーニング、閾 値、などなどを利用して簡単に脅威検知を 自動化! • 200の 無償 プロテクション; オープンに開発
- 8.
- 9.
- 10.
- 11. 200 無料 のルール。オープン に開発。 attack.mitre.org
- 12.
- 13.
- 14.
- 15.
- 16.
- 17. ...but my datais special... <random security professional>
- 18.
- 19.
- 20.
- 21.
- 22. Elastic の検知エンジニアリングへのアプローチ github.com/elastic/detection-rules/.../PHILOSOPHY.md ● 集合知による実際の経験に基づく ● カスタムツールよりも 振る舞い にフォーカス ● データソースに依存しない ロジックを実装 ● 偽陽性 を避けつつ陽性を正しく検知
- 23. 振る舞い vs インジケータ ●各々のインジケータでなく テクニックを強調 ○ 一般化した検知ルールを記載するようになる ○ オーバーフィッティングのリスクを避ける ○ MITRE ATT&CK® と似た思想 ● 必要なら 例外を定義する ○ 正確無比な振る舞い検知が難しい場合 https://attack.mitre.org/docs/ATTACK_Design_and_Philosophy_March_2020.pdf github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 24. ツールではなく、振る舞いを検知する ✖ インジケータ ✔振る舞い process.name:mimikatz.exe or process.command_line:*sekurlsa* event.module:sysmon and event.code:10 and winlog.event_data.TargetImage: lsass.exe github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 25. Elastic Common Schema(ECS の利用 github.com/elastic/ecs ● 共通のフィールド名と型のセットを定義 ● カテゴライズフィールドと値を列挙し同様のイベントをまとめる ● ニーズと共に成長できる拡張性を持って設計する ● ECS は Elastic スタック全体で利用されている
- 26. データソースに依存しないロジックを記述 ✖ 各ソースに特化 ✔標準 ECS フィールド src:10.42.42.42 or client_ip:10.42.42.42 or apache2.access.remote_ip: 10.42.42.42 or context.user.ip:10.42.42.42 source.ip:10.42.42.42 github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 27. 偽陽性を避けつつ陽性を正しく検知 ● システムプロセスの作成、編集 Windowsサービス ○ ATT&CK technique T1543 subtechnique 003 ● システムサービス: サービスの実行 ○ ATT&CK technique T1569, subtechnique 002 github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 28. ✖ 曖昧すぎる ✖偽陽性が大量発生 process.name:sc.exe process.name:sc.exe and process.args:(create or config) 偽陽性を避けつつ陽性を正しく検知 github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 29. ✖ 簡単に回避できる ✖簡単に回避できる process.command_line: "sc *create * binPath*" process.name:sc.exe and process.command_line: "* create * binPath*" 偽陽性を避けつつ陽性を正しく検知 github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 30. ✖ オーバーフィット ✔FP / TP の程よいバランス process.name:sc.exe and process.args:(create or config) and process.parent.name:cmd.exe process.name:sc.exe and process.args:(create or config) and (process.args:* or not user.name:SYSTEM) https://github.com/elastic/detection-rules/issues/47 偽陽性を避けつつ陽性を正しく検知 github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 31. ✔ Good FPand TP balance process.name:sc.exe and process.args:(create or config) and (process.args:* or not user.name:SYSTEM) 攻撃者の意図をコマンドラ イン引数で推測 ラテラルムーブメント 権限エスカレート 偽陽性を避けつつ陽性を正しく検知 github.com/elastic/detection-rules/.../PHILOSOPHY.md
- 32.
- 33. github.com/elastic/detection-rules コミュニティ & コラボ •開発者主体の精神で悪意ある振る 舞いを検知 ルール • 全 Elastic セキュリティユーザがルー ルに関われる コントリビュートガイド • イシューの作成、PR 送信、フィロソ フィーなどなど! 開発者向けツール • ルール作成用インタラクティブ CLI • 構文チェック、 ECS スキーマ、メタ データチェッカー等 パブリック リポジトリ!
- 34.
- 35. Thank You Search. Observe.Protect.