Splunkでログ分析をやってみた :「IT運用者目線で分析」シリーズ1

テレワーク勤務時に留意すべき点として、マルウェアによる標的型攻撃やフィッシングなどの脅威が挙げられます。COVID19による経済活動の変化にともない、関連する悪性ドメインの新規作成数は急増しており、Microsoft SysmonやWindows Event Logなどのログ分析による標的型攻撃の検知が重要です。

本Webセミナーでは、Splunk Security Essentials Appを使って、取り込んだログからどのように検知・分析ができるのか、デモンストレーションを交えてご紹介いたします。またSIEMの機能を提供するSplunk Enterprise Securityについても実際の画面を見ながらご紹介いたします。


エンドポイントサービスセキュリティ対策の視点例
- アンチウイルスをすり抜ける標的型攻撃が来た場合、端末の不審な動きの検知方法
- 境界防御のないリモートワーク 環境での端末を保護する方法
- 不審なファイルを開いてしまったユーザーがいないかの確認方法

テレワークにおいても重要な環境、ツールであるAWS、Microsoft 365、Zoomは攻撃者のターゲットとなり、攻撃の事例や脆弱性への注意喚起も多く見受けられます。クラウドサービスのセキュリティはユーザー側でも対処しなければならない点が意外と多く、管理には時間と労力がかかります。

Splunkでは、リモートワーク環境のリアルタイムでの可視化にあたり、Webセミナーシリーズで開催していますが、今回はSplunkとApp、アドオンを使った「クラウドサービスのセキュリティ対策」をご案内いたします。

本Webセミナーでは、AWS、Microsoft 365、Zoom それぞれのAppを活用し、異常や攻撃の挙動をどのように監視、検知できるのか、デモンストレーションを交えてご紹介いたします。またWebセミナーと並行してQ&Aセッションも設けております。ぜひご参加ください。

クラウドサービスセキュリティ対策の視点例
1. 設定がセキュリティを意識した視点になっているか
2. 怪しいアクセスはないか
3. 利用状況を可視化できているか
4. IDなどの使い回しがないか
5. 他国からのログインがないか

社内システム、オフィスネットワークへのアクセスを暗号化するVPNは、テレワークにおいて非常に重要です。攻撃者に悪用された場合、社内ネットワークへの侵入を許してしまうリスクがあります。昨年より続く日本企業への不正侵入といった被害においても、VPNのゼロデイでの脆弱性が悪用されたケースもあります。

本Webセミナーは、SplunkとApp、アドオンを使ったVPNセキュリティ対策のご紹介です。VPNの監視は特にリモートワーク環境のリアルタイムでの可視化に必要です。Splunkを使ってVPNの異常や攻撃の挙動をどのように監視、検知できるのか、デモンストレーションを交えてご紹介いたします。


VPN環境の可視化例
1. どこから接続されているか（社員のいないロケーションからのログイン試行の監視）
2. 時間毎の認証の成功と失敗（ブルートフォース、パスワードスプレーなどの攻撃の兆候を監視）
3. ログイン成功・失敗の割合（ブルートフォース、パスワードスプレーなどの攻撃の兆候を監視）
4. ログイン失敗の理由（存在しないユーザーのログイン試行や単一ユーザーで失敗が繰り返されるなど詳細の把握）

「リモートワークによって業務効率が落ちてしまったのではないか」
「テレワーク環境を整えたことで効率が落ちることなく成果にも表れてきている」

多くの企業が、在宅勤務、リモートワークへと移行する中、組織は従業員の接続性と生産性を確保する必要があります。リモートワーク環境のリアルタイムでの可視化が急務な状況を受け、Splunk Remote Work Insights (RWI) をソリューションとして用意しています。

Remote Work Insightsはテクニカルアドオン、ダッシュボード、コネクターで構成されたソリューションです。VPN、Microsoft 365、Zoom、Oktaなどが混在する複数のシステムをリアルタイムで可視化し、従業員の生産性と重要なビジネスを維持するために役立つツールキットです。本Webセミナーではダッシュボードの使い方、カスタマイズの方法についてご紹介します。

- RWIでリアルタイムな可視化が可能なアプリケーション（一例）
- VPN経由で接続している従業員の数
- アクティブなZoom会議の数、平均時間
- その日にOkta経由でアクセスされた回数が最も多いアプリケーション
- VPNのログイン数
- 地理的な場所ごとのVPN接続数

リモートワーク環境のリアルタイムでの可視化を実現するソリューションRemote Work Insights、Microsoft 365 App for Splunk についてのWebセミナーです。

リモートワーク環境を早急に整えなければならない状況で、監視対策として簡単に実現できるのはOffice 365が標準で提供している「監査ログ」の有効活用です。

本Webセミナーでは、Splunk Enterprise あるいはSplunk CloudでOffice 365 監査ログ専用のApp「Microsoft 365 App for Splunk」を使ったリモートワーク環境の可視化の方法と、実際にお客様から寄せられる質問など現場の声をご紹介します。



Webセミナーコンテンツ
Azure ADの監査ログによるアクセス監視
OneDrive - 誰がどれだけ使っているか
SharePoint - サイト別にアクセス頻度がどのくらいあるか
Exchange - メールボックスに対する操作
Teams - 実際にどれくらいの人が使っているか

金融サービスを提供する企業として、2016年より「k.CSIRT（kabu.com Cyber Security Incident Readiness Team）」を発足させ、サイバーセキュリティーの管理体制を強化しているauカブコム証券様が、クラウド導入とSplunk Cloud（SaaS)導入のチャレンジと得られたメリット、今後のAWS、Splunkへの期待までさまざまな切り口でお話いただきました。後編は、両社エンジニアとセールスを交えた4名の対談で詳しく説明します。

Splunk on AWS で実現するセキュリティ強化の重要性
現場の声から上がったSplunkの導入
クラウド、SaaSのメリット - 高い拡張性
auカブコム証券のさらなるデータの活用
ネット証券としてセキュリティ監視の質を高める
AWSでのセキュリティ防御と対策
Splunkで可視化する顧客の行動

auカブコム証券株式会社 システムリスク管理室 中村健太氏 (CISSP)
Splunk Services Japan 合同会社 アカウントマネージャー 肥田政輝
アマゾン ウェブ サービス ジャパン株式会社 パートナー技術本部 パートナ ソリューションアーキテクト 谷ヶ崎哲宏氏
Splunk Services Japan 合同会社 シニアセールスエンジニア 塚本政彦

AWS、Splunk両ソリューションを導入、活用しているお客様であるauカブコム証券株式会社様と、両社のセールスエンジニア、ソリューションアーキテクト、そしてセールスを交えた三社対談の動画です。

2016年より「k.CSIRT（kabu.com Cyber Security Incident Readiness Team）」を発足させ、サイバーセキュリティーの管理体制を強化しているauカブコム証券様が、どのようにクラウド環境で生成されるデータの監視と可視化を行い、サイバー攻撃への事前対策、発生時の対応体制の強化に取り組んでいるのかお話いただきました。前編は、AWSとSplunkの連携について、両社エンジニアが、連携のしやすさ、アドオンを使ったデータ取り込みについてなど詳しく説明します。

AWSとSplunkの連携と高い親和性
- 進むマイクロサービス化と見える化
- Splunkマシンデータを集約し、AWS環境を可視化する

前編講師
アマゾン ウェブ サービス ジャパン株式会社 パートナー技術本部 パートナ ソリューションアーキテクト谷ヶ崎哲宏氏 ほか Splunk Services Japan 合同会社 シニアセールスエンジニア塚本政彦

企業のビジネス活動の多くはITシステムに依存し、ITサービスはアプリケーションやミドルウエア、インフラに支えられています。それらは複雑に関わり合い、各種のログやメトリクスデータがサイロ 化されている場合には、障害発生時に影響範囲や根本原因を迅速に把握することは非常に困難になってきています。

本シリーズ第三弾は、「ビジネスサービスの観点でのITシステムモニタリング」に注目し、統合データ管理プラットフォームについて、Splunkデモンストレーションを交えてご紹介します。

- Splunk IT Service Intelligenceの紹介
- 障害検知の迅速化
- 障害切り分けの効率化
- 業務への影響の事前回避
- 障害対策に有効な機械学習の例

ITシステムが複雑化、高度化する一方でIT運用の現場としては未だに課題感が多いと思います。
ログデータやメトリクスデータが散在しており、問題時の切り分け作業や解決時間に時間がかかっていないでしょうか？
SplunkによるIT運用管理の特徴としては、単一のプラットフォームにいかなる種類のログデータやメトリックデータを統合管理することで、継続的なITサービスの稼働を支援できる点です。
本シリーズ第二弾は、「可用性とパフォーマンスの監視」に注目し、即時に障害を検知するためのメトリクス分析について、Splunkデモンストレーションを交えてご紹介します。

• サーバー間のトランザクション性能の分析
• 障害のあるサービスを早期に検知しサービスの健全性を調査する
• ITサービスにおける問題の検知時間や調査時間短縮に寄与
• 大量のイベントからのITサービスの障害予知やITシステムの故障予知

ITシステムが複雑化、高度化する一方でIT運用の現場としては未だに課題感が多いと思います。
ログデータやメトリックデータが散在しており、問題時の切り分け作業や解決時間に時間がかかっていないでしょうか？
SplunkによるIT運用管理の特徴は、単一のプラットフォームにあらゆる種類のログデータやメトリックデータを統合管理することで、継続的なITサービスの稼働を支援できる点です。
本シリーズ第一弾は、ログデータを使ったイベントの相関付けと分析の方法について、Splunkデモンストレーションを交えてご紹介します。
サイロ化したシステムでも全体を把握することができ、IT部門で早期に障害を検知できるようになります。

•MTTRの短縮
容易かつ迅速に原因を特定できるようになる
リアルタイムな判断が可能になる

•障害発生の抑制
広範な事象の相関を理解できるようになる
機械学習を応用し、精度の高い監視が行えるようになる

SIEMソフトウェアの世界市場でシェアトップ(*)のSplunkのデモンストレーションをご紹介します。（前編）
ITセキュリティ部門が抱える
「ログ管理、インシデント調査の効率の悪さ」
「インシデント調査にかかる膨大な時間」という課題を改めて理解し、Splunk Enterprise Securityの機能と、標的型攻撃の検知から対処までのプロセスが理解することができます。 Splunkの実際の画面操作、デモンストレーションを見ることで、インシデント調査を効率よく行うための手順をご覧ください。
マルウェアから攻撃を受けている状況、脆弱性をついた挙動を検出するアラートの内容確認、サーチの手法を実際の製品デモで体験していただけます。
(*) 2018年 IDC調査 SIEM製品世界市場シェア

SIEMソフトウェアの世界市場でシェアトップ(*)のSplunkのデモンストレーションをご紹介します。（前半）
ファイルレスマルウェアを使った標的型攻撃の実態と挙動を検出するアラートの内容確認、サーチの手法を実際の製品デモで体験していただけます。

ITセキュリティ部門が抱える
「ログ管理、インシデント調査の効率の悪さ」
「インシデント調査にかかる膨大な時間」という課題を改めて理解し、Splunk Enterprise Securityの機能と、標的型攻撃の検知から対処までのプロセスが理解することができます。 Splunkの実際の画面操作、デモンストレーションを見ることで、インシデント調査を効率よく行うための手順をご覧ください。
(*) 2018年 IDC調査 SIEM製品世界市場シェア

実際にSplunkを使ってどのように不正アクセスを調査、検出するのか。端末での認証失敗のパターンを特定し、悪意のあるアクセスを検出プロセスをご紹介します。
攻撃は日々高度化、複雑化し、網の目をくぐり抜けてネットワークを経由してサーバや端末に到達してしまうのが現状です。一旦発生してしまったセキュリティ・インシデントを分析、調査するのは今後の業務継続において非常に重要です。

本Webinarと並行してハンズオンで実際にアカウントを作成し、オンラインデモサイトでの実習も可能です。

サーバーの監視とトラブルシューティングをシームレスに相関分析できる統合ソリューションSplunk Insights for Infrastructureを紹介します。インストールから情報の収集、分析まで一つのインターフェースで対応でき、監視と分析、トラブルシューティングを別々のツールで管理する必要がありません。全体像を可視化できることで問題解決のスピードアップが可能になります。本製品のデモと合わせてご覧ください。

AIOpsを牽引し、ITOA市場のリーダーであるSplunkはIT運用の高度化、効率化に取り組んでいます。本ウェブセミナーでは企業が抱えるIT運用のリスクと、Splunkでできる効率化についてご紹介します。Splunkは莫大なログやマシンデータを取り込み、リアルタイムに解析。IT運用組織が得たい洞察を多面的に提供することができます。

システムの可視化やセキュリティ監視としてSplunkを選ぶ企業が増えています。まだSplunkを理解していないお客様に、複雑化したITシステムの可視化や組織や顧客データを保護するセキュリティなど、Splunkの全体像をご紹介します。

Splunkは、ガートナー2018年SIEM市場のマジッククアドラントのリーダーであり、IDCレポート2018 年IT運用管理ソフトウェア世界市場シェアトップに位置付けられます。

あらゆるデバイス、ファイアーウォールやプロキシ、ストレージなどから精製されるマシンデータを取り込み、可視化されたデータは、IT運用やセキュリティ監視、不正アクセス行為の発見、そしてビジネスアナリティクスとして売り上げや利益拡大の問題点発見などにも活用できます。

マシンデータ（非構造化）分析に最適なアプローチとは？ITやシステムの監視や分析はそのデータやログが増えるほど複雑になります。本ウェブセミナーではSplunkがどのようなマシンデータをどのように扱うのか、ソリューションをご紹介します。Splunkは監視や分析のためのデータのスキーマの事前定義は不要です。リアルタイムでマシンデータを分析、解析し、ITサービスやビジネスへの影響を洗い出し、障害の発生を予測します。
RDBMSや事前フィルタリングは不要です。どんなデータソースの種類やサイズであっても自由に、すぐに分析の要件を確定し展開することで、運用の全体像や状況を可視化でき、問題解決のスピードアップが可能になります。