SREの視点で考えるSIEM活用術 〜AWS環境でのセキュリティ強化〜

Sapporo.sre #0の登壇資料。
https://sapporo-sre.connpass.com/event/401379/

Transcript

1. 2026/09/18 Sapporo.sre SREの視点で考える SIEM活用術 〜AWS環境でのセキュリティ強化〜 株式会社サイバーセキュリティクラウド VP of Engineering Operations 川崎 雄太
2. ⾃⼰紹介 川崎 雄太 Yuta Kawasaki @yuta_k0911 株式会社サイバーセキュリティクラウド セキュリティインテリジェンス本部 本部長 VP of Engineering Operations 2026年7月入社。 EM of EMs、DevHR、DevRelを管掌。 AWS Community Builder（Security） SRE NEXT登壇 ：2023、2025、2026 SRE NEXTスタッフ：2024 〜 2
3. 課題｜セキュリティ専門部署がないまま、上場した 何から手をつけるべきかも、決められていなかった。 インフラ・SRE / セキュリティ ぜんぶSREで見ていた 120GB以上/日 WAFログの量 人が1行ずつ見るのは、どうやっても無理だった。 3
4. 打ち手としての SIEM利活用 1日120GB以上を、人ではなく仕組みで見ることにした。 毎営業日 17:00 定点確認 → 18:00 議論 → チケット化 4
5. 発見｜「アプリのバグ」だと思っていた 「30秒あたり100回超」を異常として拾っていた。 もともと 4xx / 5xx = アプリのバグ と思っていた 実際は 不正URLへの総当たり バグだと思って放置していたら、攻撃を見逃していた。 5
6. 発見｜ダッシュボードで見えたもの 6
7. 結果｜信頼性の数字が上がった 検知した不正URLに対するアクセスをWAFの拒否リストに入れただけ。 悪性IPアドレスを30件以上 ブロックし、累計1億回以上の 攻撃を遮断 99.95% → 99.96%以上 リクエスト成功率 SLOを押し上げたのは、機能改善ではなく「 WAFのルール」だった。 7
8. セキュリティログは、信頼性の情報源だった セキュリティのために入れた仕組みが、SLOを守っていた。 来週、エラーが出ている URLの上位を 1回だけ眺めてみてください。 増やすべきは人員数ではなく、ログを見る習慣です。 8
9. fin