SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

EnterpriseZine Day 2024 Summer

2024年6月25日(火)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

IoT時代のセキュリティ(AD)

【対談】大量マシンデータをセキュリティに活用する新手法とは?未知の攻撃や内部不正をログから”追いかける”Splunk

Splunkの特徴は「追いかける」――JP1や秘文と連携することでより強力に

安藤:Splunkでいい事例はありますか?

蔵重:システムのトラブルシューティングですが、Splunkを理解するのによい例があります。お客様から「システムがうまく動かない」と相談を受けた時、エンジニアが出向いてログを収集して分析します。かつては個々のログを何時間も分析していました。しかしSplunkですとデータを集約して解析できますから、関係するトランザクションIDやキーワードで検索すると調査が一気に進みます。もともとSplunkはこのように使うための製品でした。

安藤:それは不正調査にも応用できますね。他にも、一般的なセキュリティ製品だと登録されたパターンから情報を検索することが多いのですが、Splunkだとこれまでにないパターンを探すのが得意です。

蔵重:未知の脆弱性でも発見できる可能性があるということですね。

安藤:未知の脆弱性を突かれた場合、そもそも攻撃されているかが気づかないことがあります。

蔵重:脅威と認識されていないから監視していない。監視していないから攻撃されていることも検知できてないということですね。

安藤:どこかで異常な挙動を検知することで調査を開始し、多様なログを時系列で追いかけていくと「ここでおかしな通信が行われている」と気づいて新たな脆弱性の発見につながるというパターンです。

蔵重:Splunkの特徴を表すのに「追いかける」はいいキーワードになりそうですね。

安藤:もとは「洞窟探検」を意味する「spelunking」が語源だそうです。ずいぶん昔ですが、家庭用ゲームなどで「スペランカー」という洞窟を舞台にしたゲームがありました。まさにあのイメージだと思います。

蔵重:そういえば、昔そんなゲームがありましたね(笑)。

安藤:はい、その「スペランカー」です。ただ、ゲームとは直接関係ないようですが(笑)。それでもSplunkが洞窟を探検して宝物を見つけることを目指していることには変わりはありませんよね。ちなみに日立ならではの活用パターンの強みなどはありますか?

蔵重:日立製品との連携ですね。たとえば、統合システム運用管理ツール「JP1」や情報漏洩防止ソリューション「秘文」は特にSplunkと相性が良いと思います。おかげさまでJP1は多くの企業に導入されています。JP1に蓄積された情報があれば、Splunkを用いることでより多くの情報を解析することができます。

▲SplunkとJP1の連携
▲SplunkとJP1製品の連携
▲Splunkと秘文の連携
▲Splunkと秘文製品の連携

安藤:サーバーやパソコンを監視するツールはいろいろとあります。しかし他の形式、特にマシンデータを含めた解析もするとなると、それができるツールはなかなかありません。

蔵重:最近になり状況は変わりつつありますが、かつてはSplunkのような統合的なログ分析はあまり重要視されず、予算が付きにくい時代がありました。

安藤:必要性がなかったのかもしれませんね。データ量が少ないうちは「grep」で足りていましたから。しかし今では監視対象が増え、通信量も増えています。様々な機器のログ、認証ログ、マシンデータも監視対象となるともう「grep」では手に負えません。

蔵重:内部不正対策を考えると多様なログから解析できるようにすることは早期に実現しなくてはいけません。少し前までは権限を与えたユーザーの行動は「統制しようがない」という考えがありました。「権限を与えてしまったのだから」と。

安藤:確かに権限があれば可能となる操作は増えます。しかしログを分析すれば業務に関係のない操作をしていることは少なくとも記録には残ります。

蔵重:「なぜSQLで全件アウトプットしているの?」とかですね。

安藤:操作してすぐにアラートがあがれば、ミスならミスで気づきますしね。「文字列を間違えたら全件ヒットしてしまいました」とか。気づかず放置していると、いつのまにか大量の情報が流出していたということになってしまいます。

蔵重:悪意を抱いても改心させるソフトがあればいいのですが、現実にはそうはいきません。不正が起きればすぐに検知、誤認なら誤認とすぐに分かるような監視の仕組みが実現すれば、それだけでも抑止力になります。すべて止めることは出来なくても、外部から漏洩の事実を指摘されて、対応が後手後手になってしまうような事を避けることは少なくとも出来ますね。

安藤:今後、Splunkをどのように展開していきますか?

蔵重:日立はグループをあげて社会インフラに注力しています。新幹線や飛行機など公共交通機関のマシンデータもSplunkで解析できるようになれば、より安全で安定的な運行ができるようになるかと思います。セキュリティ対策からビッグデータ活用までSplunkは心強いツールになると思います。

■■■  Splunk 関連セミナー 11月21日(金) 開催! ■■■

「内部不正やセキュリティ事件はなぜ防げないのか? ~情報漏えい事件のトレンドと巧妙な攻撃や内部不正を追い詰めるSplunkのログ解析~」

★詳細・お申込み(無料)はこちら⇒ http://www.hitachi-solutions.co.jp/events/2014/splunk1121/

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
この記事の著者

加山 恵美(カヤマ エミ)

EnterpriseZine/Security Online キュレーターフリーランスライター。茨城大学理学部卒。金融機関のシステム子会社でシステムエンジニアを経験した後にIT系のライターとして独立。エンジニア視点で記事を提供していきたい。EnterpriseZine/DB Online の取材・記事も担当しています。Webサイト:https://emiekayama.net

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

【AD】本記事の内容は記事掲載開始時点のものです 企画・制作 株式会社翔泳社

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/6166 2015/05/07 16:59

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2024年6月25日(火)オンライン開催

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング