セキュリティログ分析とは

セキュリティログ分析

セキュリティログ分析は、システムを構成する機器が出すログを分析することで、セキュリティインシデントの早期検知や調査を目的とします。

ログとは、アプリケーションやデバイス、システムにアクセスした際の記録のことで、特にセキュリティ管理やセキュリティ対策に利用されるものをセキュリティログと呼ばれています。

ログ分析のメリット

セキュリティログを監視するメリットは次の３つあげられます。

• システム障害の早期解決
  セキュリティインシデントに対しても、前兆を予測でき早めの対処ができるため、被害が拡大する前に食い止めることができます。
• 内部不正に対する抑止力
  セキュリティログを常に監視されているという事実そのものが、不正行為への抑止力となり、不正アクセスを未然に防ぐことができます。

ログの種類

取得対象の代表的なログの種類は以下になります。

ファイアウォール、メールサーバ、Webプロキシサーバ、認証サーバのログの活用と分析方法について紹介します。

ファイアウォール

ファイアウォール（FW）のログ分析は、ネットワーク境界における侵入試行の検知、マルウェア通信（C2通信等）の特定、意図しない設定ミスの発見を行うために不可欠なセキュリティ運用です。

主要なログ

FWのログ（セッションログ / パケットフィルタログ）には、通信の可否や詳細情報が記録されます。

分析シナリオ

1. 外部からのポートスキャン / 侵入試行
   • 特徴：同一の外部IP（Src IP）から、内部の不特定多数のIPやポート（Dst IP/Port）に対して、短時間で大量の DENY / DROP ログが記録される。
   • リスク：攻撃者が脆弱性のあるポートを探している（偵察行為）。
   • 対応：攻撃元IPアドレスをFWでブロック、あるいは上位プロバイダ（ISP）レベルで遮断。
2. マルウェアによる C2通信（Command & Control）
   • 特徴：内部端末（Src IP）から、脅威インテリジェンスで悪質と判定されている外部IP（Dst IP）に対し、定期的に少量の通信（ACCEPT）が発生している。
   • リスク：内部端末がマルウェアに感染し、攻撃者のサーバと同期をとっている。
   • 対応：対象端末をネットワークから即座に隔離し、フォレンジック調査を実施。
3. 機密データの持ち出し（データ漏洩）
   • 特徴：内部端末から特定のアウトバウンド通信において、通常と比べて極端に大きな送信データ量（Sent Bytes）が記録される。
   • リスク：内部不正やマルウェアによる機密情報の外部転送。
   • 対応：通信先IPの調査、当該端末での実行プロセスやユーザ操作ログの確認。
4. 不適切な許可ルールの残存（設定ミス）
   • 特徴：本来は拒否されるべき危険なポート（RDP: 3389、Telnet: 23、SMB: 445など）へのインターネット側からの接続が ACCEPT になっている。
   • リスク：外部からの直接的な侵入・ランサムウェア感染。
   • 対応：FWポリシの緊急見直しと、対象ポートの即時遮断。

分析の効率化

1. 脅威インテリジェンス（IoC）との連携
   FWログを単体で見るだけでなく、最新の悪質IPリスト（Threat Intelligence Feed）とマッチングさせることで、危険な通信を自動検知させる。
2. 正常トラフィック（ノイズ）のフィルタリング
   ブロードキャスト通信や、社内インフラ間の正常な同期通信（NTP, DNS, NTP等）を事前にフィルタリングし、調査対象から除外する。
3. 次世代ファイアウォール（NGFW）ログの活用
   単なるIP/ポートだけでなく、アプリケーション名（SSL, SSHなど）やユーザ情報（AD連携）、URLカテゴリまでログに含まれるNGFWを使用することで、調査の精度が向上します。

メールサーバ

メールサーバのログ分析は、メールの送受信トラブルの解消、スパム・フィッシングメールの検知、およびアカウント乗っ取りによる不正送信の早期発見を目的として行われます。

主要なログの種類、重要項目、代表的な分析シナリオ、および効率化のポイントを整理しました。

主要なログ

メールシステムは主に送受信（SMTP）と受信閲覧（POP3/IMAP4）でサーバ機能が分かれているため、それぞれのログを確認します。

分析シナリオ

1. メール送受信トラブル（未達・遅延の調査）
   • 特徴：ユーザからメールが届かない・送信できないという問い合わせがあった際の調査。
   • 確認点：
     • 送信元/宛先アドレスや Message-ID でログを検索。
     • status= の値を確認（250 OK = 正常完了、4xx = 一時的エラー・再試行中、5xx = 恒久的エラー・バウンス）。
     • 相手先サーバからの応答コードを確認。
2. アカウント乗っ取りによる不正送信（スパム踏み台化）
   • 特徴：社内アカウントの認証情報が漏洩し、外部へスパムメールが大量送信される。
   • 確認点：
     • 特定の認証ユーザ（sasl_username など）から短時間で異常な通数のアウトバウンドメールが送信されていないか。
     • 通常と異なる国・IPアドレスからの SMTP 認証成功ログ。
     • 宛先不在によるバウンスメール（550 エラー等）の急増。
3. なりすまし・フィッシングメールの検知（インバウンド）
   • 特徴：外部から社内宛てに送信されてくる悪質なメールの特定。
   • 確認点：
     • SPF / DKIM / DMARC 検証ログ：spf=fail や dmarc=fail のログから、ドメインを騙った外部からのなりすまし通信を検知。
     • 送信元IP（Client IP）の評価：脅威インテリジェンスやレピュテーションデータベース（RBL等）で悪名高いIPからの接続試行。
4. ブルートフォース / パスワードスプレー攻撃
   • 特徴：IMAP/POP3 や Webmail（Roundcube, Outlook Web等）に対する不正ログイン試行。
   • 確認点：
     • 同一IPから複数のアカウントに対するログイン失敗ログの連続発生。
     • 特定アカウントに対する短時間での大量ログイン失敗。

分析の効率化

1. Message-ID や 配送ID によるトレースの一貫性確保
   メールは複数の内部コンポーネント（Postfix → SpamAssasssin → Dovecot など）を経由するため、共通の識別子（Queue ID や Message-ID）をキーにしてログを横断検索する仕組みが必須です。
2. 送信ドメイン認証（DMARCレポート）の活用
   DMARC解析ツールを導入することで、自社ドメインを騙って送信された不正メールの統計や、配信失敗ログをグラフィカルに可視化できます。
3. SIEM / ログ解析ツールでの閾値アラート
   「１分間に同一ユーザから50通以上の送信」や「１時間に10回以上のIMAP認証失敗」といった条件で自動アラートを設定し、スパム踏み台化や乗っ取りを即座に検知し、アカウント停止できる体制を整えます。

プロキシサーバ

プロキシサーバ（Forward Proxy / Web Proxy）のログ分析は、Webアクセス経由でのマルウェア感染・C2通信の検知、機密データの外部流出の特定、および業務外アクセスの把握を目的として行われます。

主要なログ

プロキシサーバ（Squid, Zscaler, Palo Alto Networks, i-FILTERなど）のアクセスログには、社内端末からインターネットへの通信詳細が記録されます。

分析シナリオ

1. マルウェアによる C2通信（Command & Control）の検知
   • 特徴：内部感染端末が攻撃者の制御サーバへ定期的に通信（ビーコニング）を行う。
   • 確認点：
     • 定期的・高頻度なアクセス：一定間隔で特定IP/ドメインへ通信しているログ。
     • 不審なUser-Agent：一般的なブラウザ（Chrome/Edge等）とは異なる文字列や、空欄・短すぎるUser-Agent。
     • 新興・動的ドメイン（Dynamic DNS）：生成されたばかりのドメインや、ダイナミックDNSサービス（No-IP等）への接続。
2. 機密データの持ち出し・情報漏洩（データ送出）
   • 特徴：ストレージサービスや外部WEBサイトへ大量のデータが送信される。
   • 確認点：
     • HTTP POST メソッド かつ 送信バイト数が極端に大きいログの抽出。
     • 許可されていないクラウドストレージ（Box, Google Drive, Megaなど）やファイル転送サイト（GigaFile便など）へのアクセス。
3. HTTPSトンネリング通信（暗号化通信の悪用）
   • 特徴：HTTP CONNECT メソッドを利用してプロキシを制限なく通過し、Web以外のプロトコル（SSH, RDP, VPN等）を外部へ通す行為。
   • 確認点：
     • 非標準ポート（443以外のポート）に対する CONNECT 通信。
     • 長時間セッションが維持され続けている通信。
4. 悪質サイト・フィッシングへの誘導
   • 特徴：ユーザがフィッシングメール内のリンクや不正な広告をクリックして危険なWebサイトへ移動する。
   • 確認点：
     • ステータスコード 403 Denied（Webフィルタリング機能でブロックされたログ）の急増。
     • 短時間に多数のユーザが同一の不審なURLへのアクセス。

分析の効率化

1. SSL/TLS復号（SSL Decryption / Inspection）の導入
   現在のWebトラフィックの9割以上はHTTPS（暗号化）されています。プロキシ側でSSL復号化の実施が不可欠です。
2. 脅威インテリジェンス（IoC）との自動照合
   プロキシログをSIEMに取り込み、最新の悪性URL/IPリスト（Threat Feed）とマッチングさせてアラート化します。
3. 正常トラフィックの除外（ノイズリダクション）
   OSや社内ソフトウェアの自動アップデートによる大量の通信ログは、分析ルールから事前に除外して調査コストを削減します。

認証サーバ（Active Directory）

Active Directory（以下、AD）とは、組織内のリソース（アカウントやパスワードなど）を一元管理するシステムです。

ADのログ分析は、ドメイン環境内における不審なサインイン（不正アクセス）、権限の乱用、横展開（ラテラルムーブメント）、設定変更などを早期に検知するための非常に重要な運用タスクです。

ADに対する攻撃手法

ADに対する攻撃を行い、ドメイン管理者アカウントなどの高い権限が窃取されると、ADが管理する全てのリソースをコントロールすることが可能になります。ADの認証の弱点を悪用して攻撃する代表的な手法は以下になります。

• ADの脆弱性の悪用
  ADの脆弱性を悪用するとドメインユーザがドメイン管理者権限に昇格できます。ドメインユーザの認証情報などが窃取できれば、比較的容易にドメイン管理者権限を獲得することができます。
• 端末に保存された認証情報の悪用
  侵害した端末のローカル管理者権限を窃取した攻撃者は、WindowsOSのメモリなど保存されたユーザの認証情報（パスワードなど）を窃取することができます。
  
• ローカル管理者アカウントの悪用
  複数のコンピュータで共通のアカウント名やパスワードを設定している場合、1 台のコンピュータでローカル管理者アカウントのパスワードが窃取されてしまいます。
  

主要なイベントID

AD環境のログ分析では、特にドメインコントローラー（DC）に出力されるセキュリティイベントログを重点的に監視します。以下に、イベントID、イベント名 / 内容、分析・監視のポイントについてまとめます。

• 認証・ログオン
  

  イベントID	イベント名 / 内容	分析・監視のポイント
  4624	ログオン成功	ログオンタイプ（2:ローカル、3:ネットワーク、10:RDP）とソースIPを確認
  4625	ログオン失敗	短時間での多発（ブルートフォース/パスワードスプレーの可能性）、状態コードの確認
  4768	Kerberos TGT要求（成功/失敗）	認証チケット要求。失敗理由（エラーコード）から攻撃手法を特定
  4769	Kerberos サービスチケット要求	Kerberoasting攻撃の検知（暗号化形式が0x17(RC4)などの不自然な大量要求）
  4776	NTLM認証の検証	NTLMプロトコルによる認証試行の監視（Pass-the-Hash攻撃の監視）

• アカウント管理
  

  イベントID	イベント名 / 内容	分析・監視のポイント
  4720	ユーザーアカウントの作成	未承認のアカウント作成（バックドア作成）の検知
  4722	ユーザーアカウントの有効化	無効化されていたアカウントの勝手な有効化を監視
  4723,4724	パスワード変更 / リセット	管理者による不審なパスワードリセットの検知
  4738	ユーザーオブジェクトの変更	アカウント属性（SPN設定など）の意図しない変更
  4728,4732, 4756	セキュリティグループへのメンバー追加	Domain Admins や Enterprise Admins などの特権グループへの追加を厳重監視

• DS (AD) 操作
  

  イベントID	イベント名 / 内容	分析・監視のポイント
  5136	Active Directory オブジェクトの変更	GPO（グループポリシ）や権限（ACL）の書き換え検知

分析シナリオ

単体のログを見るだけでなく、複数のログの組み合わせや特定のパターンに着目して分析を行います。

1. パスワード推測攻撃（ブルートフォース / パスワードスプレー）
   • 特徴：イベントID 4625（ログオン失敗）または 4768（Kerberos TGT要求失敗）が短時間に大量発生。
   • 確認点：
     • 単一のアカウントに対して大量発生（ブルートフォース）
     • 多数のアカウントに対して同一パスワードで少数発生（パスワードスプレー）
     • 失敗理由コード（例: 0xC000006A = パスワード誤り、0xC0000234 = アカウントロックアウト）
2. 横展開・特権昇格（ラテラルムーブメント）
   • 特徴：正規の管理者アカウントや乗っ取られたアカウントが、短時間で複数の端末・サーバーへログオン。
   • 確認点：
     • イベントID 4624 のログオンタイプ 3（ネットワーク接続）や 10（リモートデスクトップ）が、普段アクセスしない送信元IPから発生していないか。
     • イベントID 4672（特殊な特権の割り当て）が通常業務時間外に発生していないか。
3. Kerberoasting / AS-REP Roasting 攻撃
   • 特徴：ドメイン内のサービスアカウントのハッシュを奪取するための攻撃。
   • 確認点：
     • 4769：暗号化タイプ 0x17 (RC4-HMAC) を指定したサービスチケット要求が過剰に出ていないか。
     • 4768：事前認証が不要なアカウント（DONT_REQUIRE_PREAUTH）に対するTGT要求の急増。
4. バックドア（永続化）の構築
   • 特徴: 攻撃者が侵入状態を維持するためにアカウントやグループ権限を操作。
   • 確認点：
     • 4720（アカウント作成）$\rightarrow$ 4728（Domain Admins追加）という一連の流れの有無。

分析の効率化

1. コマンドラインとプロセス生成ログの有効化
   エンドポイント（端末・サーバ）のイベントID 4688（プロセス生成）でコマンドライン引数の記録をグループポリシから有効化しておくと、powershell.exe や cmd.exe を使った不正操作の追跡が容易になります。
2. SIEM / ログ統合管理ツールの活用
   Splunk、Microsoft Sentinel、Elasticsearch などのSIEMツールを導入し、特定の相関ルールを設定して運用するのが一般的です。
3. ノイズの除外設定
   システムアカウント（ANONYMOUS LOGON、SYSTEM、LOCAL SERVICEなど）による自動化された正常ログオンをフィルターで除外することで、分析精度を高めます。

ADに対する対策

ADへの攻撃に対する予防策は以下になります。ドメイン管理者アカウントを主眼としています。

ADに対する攻撃を検知した場合、アカウント悪用による被害を軽減するための緊急対処は以下になります。

ＩＴ

マネジメント、セキュリティ、ネットワーク、システム

www.sansakuro.com

2021.04.25

散策路TOP

物理学、数学、力学、電磁気学、連続体力学、相対論、熱・統計力学、量子力学、解析学、代数学、幾何学、統計学、論理学、物性論、プラズマ物理、電子工学、情報・暗号、機械学習、金融・ゲーム理論、IT、FP、宗教・思想

www.sansakuro.com

2021.03.24