LogStareのSOCの窓 第5回「１日だけ倍増した攻撃、その原因は・・・」

株式会社LogStareは「ログを見つめる（Stare）」というその名の通り、お客様のネットワーク環境に設置されたセキュリティ機器から出されるログを収集分析し、検知やアラートを行なうセキュリティ運用プラットフォーム「LogStare」を開発・提供しています。

セキュリティ製品を販売するセキュリティ企業と、そのエンドユーザー企業の間に入って監視業務を行なう製品を開発していると、そこからしか見えない様々な出来事があります。

それら多様な事象から、単にログ分析にとどまらず、セキュリティの運用や管理一般にも通じるトピックを厳選して、「LogStareのSOCの窓」として連載でお届けします。実務やセキュリティ計画策定、セキュリティ投資の判断の一助となれば幸いです。

いつもの数倍の攻撃が見つかった

サイバー攻撃、内部不正、運用ミスによるシステムダウン…。日々様々な情報セキュリティニュースを目にしますが、今回はそのどれでもない事象をご紹介します。

ある SOC監視員がルーチン業務でお客様のファイアウォールのログを確認していたところ、目を疑いたくなるような事象を発見。昨日に限っていつもの数倍もの攻撃を受けていたのです。それは攻撃が成功した場合に甚大な被害が発生するようなものでした。

攻撃のプロたちの痕跡がログに

詳しくログを確認すると、不幸中の幸いか送信元IPアドレスは 1 つ。SOC監視員はすぐさまお客様に連絡し、お客様は１か所からの攻撃ならばその IPアドレスを遮断すべきと、社内の関係者に許可を得るために奔走しました。

その間に SOC ではさらに調査を続け、攻撃元IPアドレスの保有者を割り出しました。IPアドレスの保有者は、なんと脆弱性診断サービスを提供する企業です。

もしや攻撃のプロたちの中に犯人が！？と思ったのもつかの間。社内調整に奔走していたお客様から、「昨日ある事業部がサービス基盤の脆弱性診断を実施したが、伝達ミスで自分まで知らされていなかった」という連絡が入りました。

SOC監視員とお客様の間には、ほっとしたような、やるせないような、なんとも微妙な空気が流れていました…。

もしかして、あなたの会社でも…

現業部門だけが知っているシステムメンテナンスの計画がありませんか？

コミュニケーション不足がやがて SOC の機能不全に

類似の例として、サービス基盤の Webサーバーが突然停止し、もしや（当時流行していた）アノニマスの攻撃では！？と情シス部門が焦る中、現場の担当者が粛々と計画メンテナンスを実行していたこともありました。

現業部門からしてみれば、情シス部門が SOC によって自部門のサービス基盤を監視していることを知らなかった。というケースは間々あり、たとえ知っていても忙しさに取り紛れて連絡が行き届いていなかった、ということもあるでしょう。

しかしながら、特定の監視対象でアラートが頻発すれば、前回同様やがて誰も見なくなり、SOC が正しく機能しなくなってしまいます。

このような経験を踏まえ、攻撃やシステムダウンを客観的な目で検知し、それがいつ、どういった経緯で発生したものかをログ分析によって突き止め、解決の手がかりとしてお客様に提供するのが、私たち LogStare を含むセキュアヴェイルグループです。

次回も私たちがセキュリティの運用現場で目撃した出来事から、現場の担当者はもちろん、管理層、経営層の方にも気づきを与えられる事例をお届けします。どうぞご期待ください。

今回の教訓

現場の計画メンテナンスが SOC で重大インシデントと捉えられることがある