セキュリティ事故対応における“オープンソース”活用法指南（応用・解析編）：初動対応用データ保全ツール「CDIR Collector」解説（後編）（3/3 ページ）

保全データの解析方法

　さて、これまでは保全を中心に取り上げてきましたが、保全したデータはどのように解析すればよいのでしょうか？ CDIR Collectorでは、PC上の現状のデータを全てそのまま取得しているため、例えばイベントログはWindows標準のイベントビューアーで取り込むことができるなど、既存のツール類を使うことができます。本格的な解析にはそれなりのスキルが必要ですが、ここでは、ツールを使って保全データからタイムラインを作成する方法を紹介します。

　インシデントの調査では、インシデントが発覚した日時の前後を中心に、事象を時系列に並べて確認するという作業をよく行います。このような解析は「タイムライン解析」などと呼ばれますが、タイムラインを作成する有名なツールの1つとして、plaso（log2timeline）というオープンソースのソフトウェアがあります。plasoにはタイムラインデータの検索やグラフ描画などの機能はありませんが、さまざまな形式のデータから時刻情報を持つアクティビティを取り出し、CSV形式などで出力できるため、Excelなどの表計算ソフトに取り込んで参照できるようになります。

　では、plasoを使ってタイムラインを作成してみましょう。以下のサイトからリリース版のバイナリを入手します。

https://github.com/log2timeline/plaso/releases

　今回は、plaso-1.4.0-win-amd64-vs2010.zipをダウンロードしました。zipを展開すると、以下のように複数のプログラムがあることが分かります。

　このうち、log2timeline.exeを使って各種データからタイムライン情報を取り出し、psort.exeを使って時間範囲を指定しつつ、CSV形式でデータを出力します。

　なお、現在のplasoでは物理メモリのタイムライン情報抽出をサポートしていないため、CDIR Collectorで物理メモリを保全していた場合（ファイル名：RAM_コンピュータ名.aff4)は、いったん別の場所に退避させておきます。また、ログファイル「collector-log.txt」も解析対象データではないため、同様に別の場所に退避させてください。

　その後、コマンドプロンプトを起動して、以下の形式でlog2timeline.exeプログラムを実行します。

log2timeline.exe 出力ファイル（Plaso形式） 調査対象フォルダ

　上図では、CDIR-Collectorで保全したフォルダ「TEST_20160813235416」を指定して、抽出したタイムライン情報のファイルをtimeline.plasoと指定して実行しています。次に以下の形式でpsort.exeプログラムを実行し、指定した時間範囲のタイムライン情報をCSV形式で出力します。

psort.exe -o l2tcsv -z Asia/Tokyo -w 出力ファイル（csv） 入力ファイル（Plaso） "date < 'YYYY-MM-DD hh:mm:ss' and date > 'YYYY-MM-DD hh:mm:ss'"

　上図では、出力する日時の範囲を2016年8月、出力ファイルをtimeline.csvと指定して実行しています。最終的に出力されたCSVファイルをExcelなどの表計算ソフトで開くと、下図のようになります。

　時間をベースに複数の情報源を集約して調査することができるため、特定の時間で何が起きていたかを判断したり、原因、影響範囲を追跡したりする際に役に立ちます。

あらためて「保全意識」を

　以上、前回から2回にわたり、初動対応向けのデータ保全ツールCDIR Collectorを紹介してきました。特にCSIRTのインシデントハンドリングに携わる方や、インシデント対応の現場に近い方は、ぜひ活用してみてください。近年見られるインシデントの長期化、深刻化に対して被害を最小限にするために、「保全」というアクションについて、いま一度検討していただければと思います。