ニュース
» 2018年09月10日 11時00分 公開

Windows用ツールを分かりやすくする:Windowsのログ管理ツールをJPCERT/CCが公開、サイバー攻撃の挙動調査に役立つ

JPCERT/CCは、Windowsのログ収集ツール「Sysmon」のログを管理、分析するツール「SysmonSearch」を公開した。複数のWindows端末のログを一元管理でき、監視ルールに基づいて定期的に検索する機能も備える。

[@IT]

 JPCERTコーディネーションセンター(以下、JPCERT/CC)は2018年9月6日、Microsoftが提供するWindowsのログ収集ツール「Sysmon」が出力するログを管理、分析するツール「SysmonSearch」を公開した。サイバー攻撃を受けたときなどに、複数の端末のログを一元的に管理し、分析できる。GitHubからダウンロード可能だ。

 Sysmonは端末上で動作したアプリケーションの情報やレジストリエントリの作成、通信などWindowsの動作をイベントログに記録するツール。有用なツールだが、端末の数が増えると調査に手間がかかる。そこで、複数の端末からSysmonのログを収集蓄積した後、「検索」「統計化」「可視化」ができるSysmonSearchが役立つという。

記録をノードとして表示、ノードごとの関係が分かりやすい

 SysmonSearchでは、Sysmonが収集したログに記録されるプロセスやファイル、レジストリといった記録を1つの「ノード」として定義する。データを表示する際には、これらのノードを関連付けて可視化する。これにより、例えばあるプロセスがファイルを作成したことや、別のプロセスとネットワーク通信していることなどが確認できる。

SysmonSerchでSysmonのログを可視化した結果 ノードを円形のアイコンで表し、そのノードが起こしたイベントを9種類のアイコンで表示する(出典:JPCERT/CC

 ログの検索では、日時やIPアドレス、ポート番号、ホスト名、プロセス名、ファイル名、レジストリキー、レジストリ値、ハッシュ値をキーとして利用できる。

 例えば、マルウェアを発見した際に、その通信先IPアドレスや使用しているポート番号を確認できれば、これらの条件を使って、他の端末のログを検索し、感染が拡大しているかどうかなどを確認できる。IoC(Indicator of Compromise)やSTIX(Structured Threat Information eXpression)形式のデータを取り込んで検索することも可能だ。あらかじめ定めた監視ルールに基づいてログを定期的に検索する機能も備える。監視ルールは、検索機能を使って作成できる。

 さらに、ネットワーク通信やプロセス、レジストリ関連イベントの統計を取り、端末ごとに結果を確認することもできる。監視機能では確認できないイベントを見つけるのに役立つ。

全端末の統計情報を表示(出典:JPCERT/CC

 なおSysmonSearchは、オープンソースのログ管理プラットフォーム「Elastic Stack」を利用して実装されている。具体的には、Elastic Stackの検索、分析エンジン「Elasticsearch」と、Elastic Stackのデータ可視化ツール「Kibana」の2つのモジュールから成る。

SysmonSearchの内部構造(出典:JPCERT/CC

 Elasticsearchは、Sysmonのログを収集し、蓄積する。Kibanaは、ログ解析のユーザーインタフェース部分を担い、ログの検索や統計、可視化といった分析機能を提供する。SysmonSearchに特化した機能は、KibanaのプラグインとしてJPCERT/CCが独自に実装した。

 IoCやSTIX形式のデータを取り込むには、これらのファイルを取り込むWebユーザーインタフェースを提供するモジュール「StixIoC server」を利用する。

Copyright © ITmedia, Inc. All Rights Reserved.

RSSについて

アイティメディアIDについて

メールマガジン登録

@ITのメールマガジンは、 もちろん、すべて無料です。ぜひメールマガジンをご購読ください。