とあるエヴァンジェリストとSecurity-JAWS#01 で発表した資料です。

1. SECURITY
MELT
Shun Yoshie
2021/04/04
#evasecjaws01

2. 吉江 瞬 （@Typhon666_death）
仕事：セキュリティコンサルタント/エンジニア/アナリスト
主な活動コミュニティ：
OWASP Japan Promotion Teamメンバー
Security-JAWS 運営メンバー
X-Tech JAWS 運営メンバー
JAWS-UG東京支部運営メンバー
レトロゲーム勉強会運営メンバー
過去の発表資料など
https://www.slideshare.net/Typhon666_death
自己紹介 - Self Introuduction

3. ドアキでオブザービリティ(Obserbility)いうてますが、オブザービリティなんて単語は存在
しません。
監視はモニタリング(Monitoring)です。
今日、お話するのは監視(Monitoring)と可観測性(Observability)の内容です。
謝罪 - Apologizing

4. Grafana
Kinaba
Alertmanager
Hatohol
AppDynamic
Sentry
NewRelic
Mackerel
Datadog
Sensu
サービス例 -(Ex) Monitioring/Observability
Dynatrace
SolarWinds AppOptics
Retrace
Instana
Elastic Observability
Site24x7
Prometheus
Zipkin
Jaeger
Dashbird
Zabbix
Cacti
Nagios
Munin
Icinga2
Hinemos
Pandora FMS
MRTG
fping
Collectd
書ききれない。たくさんのツール/サービスが存在する。

5. Service Lens
Synthetics
Contributor Insights
Lambda Insights
Container Insights
Anomaly Detection
AWSサービス例 -(Ex) Monitioring/Observability
Amazon
CloudWatch
AWS X-Ray

6. モニタリング(監視) - Monitoring
事前定義された一連のメトリックとログを使用して、システムの状態を把握する
既知の一連の障害を検知する
SNMP監視 CPU 85% 超過
URL監視 404 Not Found
SNMP監視 Ethernet 1/0/4 Down
ID Account Lock
IP 10.x.x.x ServerDown
etc

7. オブザーバビリティ(可観測性) -Observability
外部出力からシステムの内部の状態をどれだけよく理解できるかを測定するもの
監視を支援するもの
複雑なマイクロサービスアーキテクチャに対して、監視の事前定義が困難であっても、その
影響から原因への移動が可能となってくる
オブザーバビリティを構成する重要要素は
MELT

8. 監視vs可観測性 -Monitoring vs Observability
https://www.oreilly.com/library/view/distributed-systems-observability/9781492033431/

9. メトリック -Metrics
イベント -Events
ログ -Logs
トレース -Traces
重要なデータタイプ -Essential Data Types

10. メトリック -Metrics
効率的かつ頻繁にヘルス情報・パフォーマンス情報を吐き出してくれる。
測定値をグループ化してる
CPU Usage
Memory Usage
Disk Usage
Data I/O
Access Count
Synthetics (URL監視)
もっとも重要な監視における
データタイプ
https://aws.amazon.com/jp/blogs/news/introducing-container-insights-for-amazon-ecs/

11. イベント -Events
あるタイミングにて発生する事象
後述するログよりも、より抽象度が高い
設計通りデータが流れてるか見るにはイベントを追う
http://nagios.fm4dd.com/howto/nagios-flexible-notifications.htm

12. ログ -Logs
特定の時点で実行していることに関する情報をログとして記録する。
メリット：
メトリックよりもリソースに関するより詳細な情報を提供してくれる
改ざんされていないことさえ担保できれば、ログそのものが痕跡となる
デメリット：
ログ形式の違い
生ログ保存時におけるコスト
大量のログから必要な箇所を抽出することが大変
ログの一行、血の一滴
https://aws.amazon.com/jp/blogs/news/learn-from-your-vpc-flow-logs-with-additional-meta-data/

13. トレース -Traces
マイクロサービスエコシステムなアプリケーション向け視認性に適したデータソースを提供
マイクロサービス間のイベントの因果連鎖を追跡することが可能
https://docs.datadoghq.com/ja/tracing/

14. MELTの課題 -Observability
For Whom For What Points
経営
マーケティング
障害対応
セキュリティ
監査
経営者
営業
アプリ開発者
インフラ担当者
情シス担当者
セキュリティ担当者
(B2)B
(B2)C
オブザーバビリティし
たいものについても要
件定義を行うこと
必要なのは生ログなの
か加工ログなのか
見たい情報が何かを一
番把握してる人が作っ
たダッシュボードにこ
そ一番価値がある

15. 監視項目 対象システム
セキュリティ監視 -Security Monitoring
認証・認可ログ
DNSログ
システムログ
アプリケーションログ
セキュリティログ
プロセス
アプリケーション
レスポンスコード
ネットワークログ
etc
オンプレミス
クラウド
ハイブリッド
モノリス
マイクロサービス
コンテナ
サーバーレス
ネットワーク
モバイル
etc

16. セキュリティ情報イベント管理 -SIEM
メトリック -Metrics
イベント -Events
ログ -Logs
トレース -Traces
Traditional
Correlation
analysis
New Era🎉

17. SIEMの例 -SIEM
HP Archsight
IBM QRader
McAfee ESM
SolarWinds SEM
Elastic SIEM
ManageEngine EventLog
Analyzer
SumoLogic
Splunk
Datadog
Azure Sentinel
Chronicle
Wazuh
OSSEC

18. セキュリティトレーシング -Security Tracing
トレースを使用して、マイクロサービスへの攻撃を特定して阻止する
リクエストが認証・認可含め、必要なサービスをすべて通過したか？
リクエストが予期せぬサービスを呼び出したか？
リクエストが不正なデータへのアクセスを許可したか？
リクエストがシステムに入ってきた箇所
リクエストを発信したIPアドレス
攻撃者の特定
機械学習やデータ可視化で、正常動作と異常動作を識
別し、アラートを通知するという新しいアプローチが
取れる
https://www.traceable.ai/blog-post/security-observability-why-tracing

19. 攻撃検出トレーシング -Security Tracing
https://www.traceable.ai/blog-post/security-observability-why-tracing
進行中の攻撃の可能性→
この図は、攻撃者が必要な認証ま
たは承認手順をバイパスする方法
を見つけた可能性
開発者が潜在的なセキュリティの脆弱性を認識し、コードを修正することが可能

20. 脆弱性を暴くトレーシング -Security Tracing
https://www.traceable.ai/blog-post/security-observability-why-tracing
セキュリティの脆弱性の可能性→
この図は、このグループのリクエ
ストがユーザーのアカウント情報
への不正アクセスを誤って許可す
る可能性
開発者が潜在的なセキュリティの脆弱性を認識し、コードを修正することが可能

21. OWASP API Security Top 10 2019
https://owasp.org/www-project-api-security/
先述の図は以下のパターンを示し
てる
セキュリティの脆弱性の可能性
- API1 - Broken Object Lebel
Authorization
- API2 - Broken User Authentication
先述の進行中の攻撃の可能性
- API3 - Excessive Data Exposure
API固有の脆弱性とセキュリティリスクを理解して軽減するための戦略とソリューションが
明記されている

22. SIEMのさらなる進化 -Traditional SIEM + Traces
トレースによる異常検知とそのタイミングにおけるその他、ネットワークログやDNSログと
相関分析を行った結果、これまで以上に何か新しい発見が可能となるかもしれない？
メトリック -Metrics
イベント -Events
ログ -Logs
トレース -Traces
New Era
Correlation
analysis

23. まとめ -Conclusion
監視(モニタリング)と可観測性(オブザーバビリティ)の違い
オブザーバビリティを構成するMELT
セキュリティ監視
セキュリティトレーシング
次世代のSIEM

24. THANK YOU!