ログとテレメトリの活用

ハンティングの質は、それを支えるデータの質に左右されます。ログとテレメトリは、攻撃者がシステム全体に残す証拠の軌跡です。

このレッスンでは、主要なデータソースと、それらを横断してハンティングする方法を扱います。

エンドポイントデータは、最も情報量の多いソースです。EDRやSysmonなどのツールは、プロセスの作成、コマンドライン、ファイル書き込み、レジストリ変更を記録します。

現代の攻撃の多くはエンドポイントに触れるため、多くのハンティングはここから始まります。

ネットワークデータから、ホストがどこに接続しているかが分かります。ファイアウォールログ、プロキシログ、DNSログ、Zeekの記録から、ビーコン通信、情報の持ち出し、ラテラルムーブメントを明らかにできます。

これらは通信面を示すことで、エンドポイントデータを補完します。

認証ログから、アカウントがどのように使用されているかが分かります。普段と異なる時間帯や新しい場所からのログイン、失敗後に成功するパターンを探してください。

ここでは、WindowsのイベントIDとディレクトリログが中心になります。

現代の環境では、APIアクティビティ、IDのサインイン、設定変更などのクラウドログが生成されます。

新しいアクセスキー、無効化されたログ記録、通常とは異なる管理用API呼び出しをハンティングしてください。

SIEMは、あらゆる場所からログを収集し、検索可能な1か所に集約します。データが一元化されて初めて、複数のソースを横断したハンティングが現実的になります。

Splunk、Elastic、Sentinelが一般的なプラットフォームです。

データソースによってフィールドの名前は異なります。正規化によって共通スキーマに対応付けると、1つのクエリで複数のソースを横断できます。

正規化しなければ、ログ形式ごとに新しいクエリを作成することになります。

真の力は相関付けにあります。同じホストと時刻について、エンドポイント上のプロセスをネットワーク接続や認証イベントと結び付けてください。

1つのソースは疑いを生み、3つのソースを組み合わせることで確かな事実関係を構築できます。

何を記録していないかを把握してください。攻撃者は、ログが記録されていないホスト、無効化されたコマンドライン監査、短いログ保持期間といった盲点を巧みに利用します。

ギャップを特定すること自体が、価値のあるハンティングの成果です。

ログは膨大で、ストレージには限りがあります。ハンティングを行う時点でもデータが残っているように、コストとのバランスを取りながら保持期間を決めてください。

今日発見された攻撃が、数か月前に始まっていた可能性もあります。保持期間が短いと、その事実が隠れてしまいます。

ログを横断したハンティングで手法が見つかったら、検知ルールとして実装し、次回からSIEMが自動的に検知できるようにしてください。

これにより、手動のハンティングが自動化された防御を継続的に強化します。

ログとテレメトリについて理解度を確認します。

ログとテレメトリを横断してハンティングする方法を学びました。

• エンドポイントデータ（プロセス、コマンドライン）は最も情報量の多いソースです。
• ネットワーク、認証、クラウドのログがコンテキストを補います。
• SIEMがデータを一元化し、正規化によってソースを横断したクエリが可能になります。
• ソースを相関付けて、確かな手掛かりを構築します。
• ログのギャップと保持期間に注意し、調査結果を検知に変換します。

次は、調査結果をMITRE ATT&CKに対応付けます。