クラウドフォレンジックを効率的に行うアーキテクチャ / Architecture for Cloud Forensics

「DBSC初冬セミナー」で発表した資料です。
http://www.db-security.org/seminar/20221207.html

「クラウドセキュリティエンジニアブログ」
DBSC初冬セミナーで「クラウドフォレンジックを効率的に行うアーキテクチャ」というタイトルで登壇しました
https://devblog.nuligen.com/entry/20221214/1671001164

Transcript

1. ニューリジェンセキュリティ株式会社 クラウドフォレンジックを効率的に行う アーキテクチャ 大島 悠司 ＜データベース・セキュリティ・コンソーシアム主催＞ DBSC初冬セミナー 「クラウド環境下のデータ保全、フォレンジックについて」 2022/12/7
2. 1 © Nuligen Security Co., Ltd. 自己紹介 ◼ 大島 悠司（おおしま ゆうじ） ⚫ ニューリジェンセキュリティ株式会社 ⚫ クラウドセキュリティアーキテクト/基盤リーダー ⚫ 2022 APN ALL AWS Certifications Engineers ◼ 経歴 ⚫ デジタルフォレンジック、マルウェア解析 ⚫ スレットインテリジェンス、基盤運用 ⚫ SOC、インシデントレスポンス ⚫ ニューリジェンの創業メンバーとして サービス開発/基盤構築運用/研究開発に従事 yuj1osm
3. 目次 1. はじめに 2. クラウドの責任共有モデル 3. クラウドログの特性 4. ログ収集と調査を考慮したアーキテクチャ 5. まとめ
4. はじめに
5. 4 © Nuligen Security Co., Ltd. 世の中のクラウド事情 ◼ 背景 ⚫ 従来のオンプレミスのワークロードをクラウドへ移行する組織が増加 ◼ クラウドのメリット ⚫ 初期費用がゼロ ⚫ 柔軟性と俊敏性により必要な分だけ即時に利用可能 ⚫ マネージドサービスにより運用負荷が軽減 ◼ 世の中のクラウド推進の流れ ⚫ 企業のデジタルトランスフォーメーション（DX）推進 ⚫ 政府のクラウド・バイ・デフォルト原則
6. 5 © Nuligen Security Co., Ltd. クラウドフォレンジックの課題 ◼ クラウドにおけるフォレンジックは従来のオンプレミスとは異なる オンプレミス クラウド ワークロードの稼働時間 物理サーバや仮想マシン上で ワークロードが長時間稼働 コンテナやサーバレスなどで ワークロードが稼働するため、 スケールにより短期間の稼働 ログの保存期間 容量が許す限りログを長期間保存 クラウドから提供されるログは 種類が豊富だが、短期間で削除される フォレンジックの調査方法 ディスク/メモリイメージや ネットワークログなどと相関分析 監査ログやAPIコールログなどの 多種多様なログを相関分析 クラウドの柔軟性とログの短期保存によりフォレンジックが困難 クラウドのログ特性をよく理解して、適切な設計をしておくことが重要
7. 6 © Nuligen Security Co., Ltd. 本公演の概要 ◼ お話しすること ⚫ クラウドの責任共有モデルから利用者の責任を説明 ⚫ クラウドのログ特性を説明 ⚫ クラウドフォレンジックに効果的な設計や運用を説明 ◼ お話ししないこと ⚫ 具体的なログの見方や調査方法 ◼ 対象者 ⚫ 企業やプロジェクトのクラウド管理者 ⚫ セキュリティ担当者 ⚫ セキュリティ責任者
8. クラウドの責任共有モデル
9. 8 © Nuligen Security Co., Ltd. 代表的なXaaSにおける責任範囲 ◼ クラウドサービスの提供形態によって責任範囲が異なる ◼ いずれの形態もユーザの責任がゼロになることはない データ アプリケーション ミドルウェア オペレーティングシステム 仮想化ソフトウェア ハードウェア データ アプリケーション ミドルウェア オペレーティングシステム 仮想化ソフトウェア ハードウェア データ アプリケーション ミドルウェア オペレーティングシステム 仮想化ソフトウェア ハードウェア IaaS PaaS SaaS ユーザの責任範囲 クラウド提供事業者の 責任範囲
10. 9 © Nuligen Security Co., Ltd. AWSのIaaSにおける責任共有モデル例（Amazon EC2の場合） ◼ AWS ⚫ ハードウェア/ソフトウェア/NWを含んだ インフラストラクチャすべての保護に責任を負う ◼ お客様 ⚫ OS更新やセキュリティパッチ適用、 AWSが提供するセキュリティ機能の設定など、 セキュリティ構成と管理に責任を負う ◼ あくまでセキュリティ構成はユーザに委ねられる 責任共有モデル | AWS https://aws.amazon.com/jp/compliance/shared-responsibility-model/
11. 10 © Nuligen Security Co., Ltd. ワークロード全体で考えるセキュリティ対策 ◼ 実際には、ワークロードは複数のサービスが組み合わさってできている ◼ ワークロード全体として、責任境界をきれいに線引きできるわけではない ◼ 重要なのは、各サービスの機能を理解したうえで、ユーザがセキュリティ対策を検討すること AWS Cloud VPC Webサイト (Amazon EC2) データ(Amazon RDS) Amazon CloudFront 静的コンテンツ(Amazon S3) Users IaaS PaaS
12. 11 © Nuligen Security Co., Ltd. クラウドログの特性
13. 12 © Nuligen Security Co., Ltd. クラウド提供形態ごとのログ特性 ◼ SaaSはアプリ側で用意されたログが限定的 ⚫ 必要なログが取得されており、それらを利用者はいつでも利用可能か、契約前に確認する ◼ IaaSは多種多様なログを簡単に取得可能 ⚫ エージェントのインストールが必要など、ログ取得方法の制約が無いか確認する IaaS PaaS SaaS Microsoft365, GoogleWorkspace Amazon RDS, Azure SQL Database Amazon EC2, Compute Engine （サービス例）
14. 13 © Nuligen Security Co., Ltd. クラウドのログ種別 ◼ クラウドを使うことで多くの種類のログが簡単に取得可能 ◼ それぞれのログから分かることや、各ログがどこで、いつまで保存されているかを把握すること 種別 説明 IAMログ 認証ログ サインインログなど プラットフォーム管理ログ クラウドプラットフォームに対する変更 リソース管理ログ リソースに対する変更 VMの作成/変更/削除など リソースログ リソースが生成するログ Network FlowログやFirewallログなど アプリケーションログ VM上のアプリケーションが生成するログ
15. 14 © Nuligen Security Co., Ltd. クラウドログの例 ◼ CSV、XML、JSONなどで構造化されていることが多い ◼ クラウドやサービス機能によってフォーマットが異なる [ { “id”: “9aaedfa6-7d22（省略）", "createdDateTime": "2022-11-26T07:46:00Z", “userDisplayName”: “ユーザゼロイチ", "userPrincipalName": “user01@sample.com", "userId": "75577223-289b （省略） ", "appId": "c44b4083-3bb0 （省略） ", "appDisplayName": "Azure Portal", "ipAddress": " 52.93. （省略） ", "ipAddressFromResourceProvider": null, "clientAppUsed": "Browser", "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:107.0) Gecko/ （省略） ", "correlationId": "1e8ba1b0-102f （省略） ", ~（省略）~ "status": { "errorCode": 0, "failureReason": "Other.", "additionalDetails": null }, ~（省略）~ ] { "eventVersion": "1.08", "userIdentity": { "type": "IAMUser", "principalId": "AIDA（省略）", "arn": "arn:aws:iam::（省略）:user/user01", "accountId": "（省略）", "userName": "user01" }, "eventTime": "2022-11-26T07:45:28Z", "eventSource": "signin.amazonaws.com", "eventName": "ConsoleLogin", "awsRegion": "ap-northeast-1", "sourceIPAddress": "52.93. （省略） ", "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:107.0) Gecko/（省略）", "requestParameters": null, "responseElements": { "ConsoleLogin": "Success" }, ~（省略）~ } Azure AD（サインインログ） Amazon CloudTrailログ（コンソールログイン）
16. 15 © Nuligen Security Co., Ltd. ログの集約と処理 ログデータ ログデータ ログデータ 集約 加工 可視化 ◼ 調査に必要なログを有効化したうえで、集約/加工し、可視化できるようにする Parse & Enrich
17. 16 © Nuligen Security Co., Ltd. ログ収集と調査を考慮したアーキテクチャ
18. 17 © Nuligen Security Co., Ltd. AWS AWS CloudTrail ◼ 誰が、いつ、何に対して、何をしたか、全て記録 ◼ ほぼ5分以内にログを確認可能 ◼ ログ保持期間は90日 → 他サービスへ転送すること AWS CloudTrail VPC EC2 RDS IAM Users Amazon S3 ・Trailの機能でログ調査 ・保持期間90日 ・CloudWatch Logsに転送してログ調査 ・保持期間無制限（変更も可能） ・細かいクエリも使える ・S3に転送して長期保存 ・生ログをExportして他のツールで調査も可能
19. 18 © Nuligen Security Co., Ltd. AWS AWS Config ◼ 何に対して、いつ、何がされたか、全て記録 ◼ Trailログとの相関分析で、誰が実施したかも調査可能 ◼ さらに、リソースのコンプライアンスチェックも可能 ◼ ログ保持期間はデフォルトで7年間 VPC EC2 RDS IAM Amazon S3 AWS Config ・Configの機能でログ調査 ・保持期間7年 ・Trailログと相関分析可能 ・S3に転送して長期保存 ・生ログをExportして他のツールで調査も可能
20. 19 © Nuligen Security Co., Ltd. AWS AWS Severity Hubに集約 ◼ 多くのセキュリティサービスはSecurity Hubに集約可能 ◼ 検知の一元管理やスコア確認が可能 Amazon GuardDuty AWS Security Hub IAM Access Analyzer AWS Config リソース構成管理 Trailなどのログから脅威を検知 IAMロールやS3の外部アクセスを検知 ・ドリルダウンで調査可能
21. 20 © Nuligen Security Co., Ltd. AWS マルチアカウントの構成例 AWS Cloud（開発） AWS Cloud（ステージング） AWS Cloud（本番） AWS Cloud（請求管理） AWS Cloud（ログアーカイブ） AWS Cloud（監査） AWS Cloud（ユーザ管理） Amazon S3 AWS CloudTrail AWS Config AWS Security Hub IAM Access Analyzer Amazon GuardDuty AWS CloudTrail AWS Config User1 AWS CloudTrail AWS Config AWS CloudTrail AWS Config AWS CloudTrail AWS Config AWS CloudTrail AWS Config AWS CloudTrail AWS Config ユーザ管理アカウント経由 で他アカウントへアクセス TrailとConfigログを集約 TrailとConfig情報を集約
22. 21 © Nuligen Security Co., Ltd. Azure Azureプラットフォームのログ ◼ Azureプラットフォームからは以下のような様々なレイヤーからログが取得できる 種別 説明 テナントログ （Azure ADログ） Azure ADのようにユーザのテナント全体に関わるレイヤー サインイン履歴やAzure ADで行われた変更の監査証跡 サブスクリプションログ （Azureアクティビティログ） リソースの横断的なプラットフォームのレイヤー リソースに対して行われた変更 リソースログ リソースの内部操作に関する情報 キーコンテナからのシークレット取得やデータベースへの要求 OSログ エージェントをインストールすることで収集できるログ CPU/メモリなどのOSリソースに対するメトリック/ログ アプリケーションログ アプリケーションのパフォーマンスや操作に関するログ
23. 22 © Nuligen Security Co., Ltd. Azure Azure ADログ ◼ サインインログや監査ログは、反映に5分程度、30日間保持 ◼ Identity Protectionのリスク検出ログは、反映に最大8時間、90日間保持 ◼ いずれのログも他サービスへ転送すること ・Azure ADの診断設定で、任意のログを 複数のサービスに転送可能 ・Log Analyticsは2年間保存
24. 23 © Nuligen Security Co., Ltd. Azure Azureのログ集約例 ◼ Azure ADログとAzureのアクティビティログを分析、保存それぞれに転送 ◼ Azure Sentinelを通した分析も可能 Azure AD Azure Log Analytics Storage Account Azure Sentinel ・Log Analyticsで分析 ・2年間保存 ・Blob Storageで保存 ・Azure Sentinelで分析 ・脅威検出やオーケストレーション機能
25. 24 © Nuligen Security Co., Ltd. GCP Cloud Loggingが扱うログ ◼ Cloud Loggingは以下のログを扱う ◼ 特に注意が必要なのは、セキュリティログは対象によってデフォルト設定や保存先が異なる 種別 説明 Google Cloudが生成するログ Google Cloudの様々なサービスから転送 ユーザが生成するログ APIやVMのエージェントから転送 セキュリティログ Cloud Audit Logsのログ Google CloudのAPIコールログであり、以下の種類がある ・管理アクティビティ監査ログ [デフォルトで有効、_Requiredバケット] ・データアクセス監査ログ [デフォルトで無効] ・システムイベント監査ログ [デフォルトで有効、_Requiredバケット] ・ポリシー拒否監査ログ [デフォルトで無効] アクセスの透過性ログ Googleサポートがアクセスした際のログ [デフォルトで有効、_Requiredバケット] マルチクラウドとハイブリッド クラウドのログ アプリケーションのパフォーマンスや操作に関するログ AzureやAWS、オンプレミスから取り込んだログ
26. 25 © Nuligen Security Co., Ltd. GCP Cloud Logging概要 ◼ Cloud Logging APIにログを送信、ログルーターのシンク設定でログバケット、他サービスに転送 ログデータ Cloud Logging API _Requiredシンク _Defaultシンク ユーザ定義シンク _Requiredログバケット _Defaultログバケット ユーザ定義ログバケット Cloud Storage BigQuery Pub/Sub ログルーター ログバケット Cloud Logging基盤 ・編集不可 ・400日保持 ・編集可 ・30日保持 ・編集可 ・30日保持 ・Log Explorerで検索可能
27. 26 © Nuligen Security Co., Ltd. GCP ログルーターとログバケット ◼ 各種設定は以下の通り ログルーターのシンク設定で、転送先バケットを定義 Unlockedの_Defaultバケットは、保持期間を変更可能
28. 27 © Nuligen Security Co., Ltd. GCP GCPのログ集約例 ◼ ログデータをCloud LoggingからPub/Subトピックに送信し、Dataflowで前処理 ◼ 前処理されたデータをBigQueryで調査 ◼ 長期保存用にCloud Storageにも保存 ◼ 複数プロジェクトのログを集約シンクで、1つのプロジェクトに集約も可能 Cloud Logging Cloud Storage BigQuery Pub/Sub ログデータ Dataflow ・集約シンクで集約も可能 ・前処理されたログを分析
29. 28 © Nuligen Security Co., Ltd. クラウドログの特徴まとめ ◼ どういうシナリオに対して、どのログが使えるか ◼ そのログは有効化されていて、保持期限はいつまでか シナリオ AWS Azure GCP ログイン パスワードスプレー ありえない移動 CloudTrailログ 90日 Signinログ 30日 Login Auditログ 400日 ログイン後の挙動 横展開 キーの漏洩 CloudTrailログ 90日 Activityログ 90日 System Eventログ 400日
30. まとめ
31. 30 © Nuligen Security Co., Ltd. まとめ ◼ 世の中のクラウド移行が進む中、フォレンジックのアプローチも変化している ◼ 責任共有モデルであっても、最終的なセキュリティ対策はユーザで検討する必要がある ◼ クラウドログは多種多様であり、調査にあたって非常に役に立つ ◼ クラウドログを扱うときは以下に気をつける必要がある ⚫ デフォルトで有効/無効か ⚫ 保持期間はいつまでか ⚫ どういったサービスに連携できるか ⚫ フォーマットは分析で扱えるものか ◼ 各ログの特性を考慮し、収集・分析しやすいような基盤設計をする
32. www.nuligen.com