<第2回>Splunkでセキュリティダッシュボードを作成しよう！データの取り込み(その1)

本記事では、「Splunkでセキュリティダッシュボードを作成しよう！」シリーズにおける第2回として、ダッシュボードのソースであるデータの取り込み手法の検討について紹介します。

第1回：全体概要（ゴールと内容の説明）
第2回：データの取り込み(その1)　←今ここ
第3回：データの取り込み(その2)
第4回：フィールド抽出と正規化
第5回：SPLの書き方(その1)
第6回：SPLの書き方(その2)
第7回：SPLの書き方(その3)
第8回：Dashboard Studioでダッシュボードを作成(その1)
第9回：Dashboard Studioでダッシュボードを作成(その2)
第10回：Dashboard Studioでダッシュボードを作成(その3)

1. データの取り込み手法の検討

一般に、ダッシュボードを設計・作成する際は、ダッシュボードのユースケースを想定し、ユースケースに合わせた要件を抽出した上で、必要なデータを取り込む必要があります。Splunkは多様なデータ取り込み手法があり、拡張機能(App、Add-on)を用いることで簡単に実装することができます。新たにデータを追加する際、どのようにデータを取り込むかについては下記Stepを踏むことで効率的に進めることができます。

ⅰ. SplunkbaseやwebでAdd-onを探し、Add-onに記載の方法を採用
ⅱ. (Add-onがない場合)Universal Forwarder (UF) +自前でフィールド抽出やソースタイプ定義をすることを検討

本記事で作成するダッシュボードに必要なログは下記の3種類です。これらログの取り込み方法について検討します。

1. Azureのsigninログ
2. IDS / IPS (Juniper) のアラートログ (syslogに集約している場合を想定)
3. 外部で公開されているセキュリティに関する情報 (RSSフィード)

データ取り込みの方法は、まずiの方法で実現できないか検討します。splunkbaseにアクセスし製品名(Azure、Juniper)や手法(RSS)で検索します。

Azureについては複数のApps (40種類)がヒットします。

データ取り込みに関わるAppsは“Add-on”と名称がついているものです。Splunk Add on for Microsoft Azureと表示されたAdd-onを開きます。

SummaryとDetailsのタブを確認し、このAdd-onが今回の用途で使用できるか確認します。DetailsにGitHubへのリンクが記載されていたので、詳細を確認します。

docのinstallationページにこのAdd-onをどのSplunkコンポーネントにインストールするか、が書かれていました。Splunk Cloud、Search Head (オンプレの場合)、またはHeavy ForwarderにこのAdd-onをインストールすることでデータ取得ができると記載されています。App/Add-onによってインストール先のSplunkコンポーネントが異なるため、App/Add-onごとにインストール先を確認しておくことが必要となります。

ここまでで、AzureログはAdd-onを用いて取得できることがわかりました。

次にIDS / IPS (Juniper) のアラートログについて調べます。juniperと検索すると2つのAppsがヒットしました。

Azureの場合と同様、Add-onと表示されているAppを選択するとDetailsにdocリンクが記載されていました。

Add-on for Juniperのdocでは、Search HeadおよびIndexer(Heavy Forwarderを使わずUniversal Forwarderを使用する場合)に、このAdd-onをインストールすることでデータ取得ができると記載されています。実環境上にApp/Add-onを導入する際は、これらAppのインストール先を最初に把握してから作業をする必要があります。

最後に、外部で公開されているセキュリティに関する情報 (RSSフィード)について調べます。splunkbaseにてRSSと検索すると複数の候補がヒットしました。この中からsyndication Input (RSS/ATOM/RDF) がデータ取り込みに使用できることが説明文から読み取れたため、詳細を確認します。

このAppについてはSplunk Supportではないためdocのリンクはありませんが、作成者のGitHubのリンクがあります。また、ページの説明から、このAppをインストールすることでSplunkのUIからInput設定(データ取り込み設定)を作成できることがわかります。​​このデータソースは、外部ソースから直接Splunkにデータを転送することができそうです。

以上によって、今回の3種類のログを取り込むために使用するAdd-onと、そのインストール先がわかりました。

次回、これらデータの取り込みを行うための手順について紹介することにします。