ファイアウォールのログ管理と SIEM

ファイアウォールは、どのネットワークにおいても最初の防衛手段（第一の防衛線）です。ファイアウォールはソフトウェアまたはアプライアンスのいずれにもなり得ます。組織は、IPトラフィックの一部またはすべてを許可／拒否するように設定したり、ディープパケットインスペクション（deep packet inspection）を用いるルールに基づいて特定のトラフィック種別を検証したりできます。最大限の効果を得るには、脅威や誤設定（ミスコンフィギュレーション）を見つけるために、ファイアウォールの動作を監視することが重要です。

ファイアウォールログとは何で、どのように役立つのでしょうか？

ファイアウォールログとは、ファイアウォール内での通信トラフィックやシステムイベントに関するデータの記録（台帳）です。このファイルには通常、次のような重要な情報が豊富に含まれています:

• 送信元および宛先の IP アドレス、ポート番号、プロトコル、トラフィック統計
• ネットワークへの成功した接続
• 失敗したネットワーク接続の試行
• ファイアウォール設定およびルールの変更
• システムの再起動やディスク不足などの運用イベント

ファイアウォールのログ監視と分析のプロセスにより、次のことが可能になります:

• 設定およびハードウェアの問題を特定します。
• 悪意のある通信（トラフィック）を切り分けます。
• 競合している、または時代遅れのファイアウォール ルールを特定します。ルール数を最小限に抑えることで、管理の手間を減らし、関連する人的ミスのリスクも低減できます。

ファイアウォール ログ管理が難しいのはなぜでしょうか？

適切なファイアウォール ログ管理が大変になる主な理由は、次の2つです：

• ファイアウォール ログは非常にノイズが多いです。記録の量が膨大なため、不審なアクティビティを見つけにくくなります。
• ファイアウォールには変更管理の機能が備わっていません。したがって、ファイアウォール ルールの変更などの重要な修正を追跡する方法を見つける必要があります.

これらの課題を克服するには、組織にはファイアウォールのログ分析ツールが必要です。

SIEM はファイアウォールのログ監視にどのように役立ちますか？

A security information and event management（SIEM）システムは、組織がファイアウォールのログからより多くの価値を引き出すのに役立ちます。SIEM は、ファイアウォールのログだけでなく、侵入検知システム（IDS）や侵入防止システム（IPS）などのアプリケーションを含む複数のソースから情報を収集します。次に、イベントの相関分析やシグネチャベースの検出といった手法を用いて不審な活動を特定し、アラートを発行して、迅速に対応できるようにします。

SIEM の主要なファイアウォール ユースケース は次のとおりです：

• 脅威の検出：SIEM を使ってファイアウォールのログデータを分析すると、次を含むサイバー攻撃を見つけるのに役立ちます：
  • スプーフィング（Spoofing）： 攻撃者は、別のIPアドレス、DNSサーバー、またはアドレス解決プロトコル（ARP）を使用することで、自分がなりすましている相手になりすまします。
  • サービス拒否（DoS）または分散型サービス拒否（DDoS）攻撃：攻撃者は、意図された利用者が利用できないようにするため、要求（リクエスト）を標的のネットワークに大量に送り込みます。これらの攻撃は、しばしば DNS や Web サーバーを狙います。
  • スニッフィング（Sniffing）： 攻撃者はパケットスニファソフトウェアを使って、サーバーとクライアントの間を流れる機密データを傍受し、監視し、取得（キャプチャ）します。
  • 盗み聞き（Eavesdropping）： 脅威アクターは機密情報を得るために、ネットワーク間を流れるデータを傍受（聞き取り）します。盗み聞きはスニッフィング攻撃に似ていますが、通常は受動的であり、完全なデータパケットを含まない場合があります。
• 重要データの保護： ファイアウォールは異常なデータベース接続の試みに対する防御に役立ち、接続試行の SIEM 分析によって攻撃を理解し、さらに防御を強化できます。
• インシデント対応: ファイアウォールのデータは、SIEM が感染した、または悪意のあるホストと通信したホストを把握するのに役立ちます。そのため、マルウェアの拡散を止めて被害を最小限に抑えられます。
• コンプライアンス: ファイアウォールのデータを分析することで、予期しないファイアウォール設定の変更を検出できるため、PCI DSS などの基準、HIPAA 、SOX、および GLBA によって規制されているデータへの不正アクセスを許してしまう可能性のある変更を見つけるのに役立ちます。
• リスクおよび脆弱性管理: ファイアウォールのデータを分析することで、脆弱なポート経由で通信している資産を見つけるのに役立ちます。

ファイアウォールのログ監視におけるベストプラクティスは何ですか？

効果的なファイアウォールのログ管理と監視のための主要なベストプラクティスは次のとおりです：

標準のログ記録フレームワークを使用してください。

すべてのログが一貫していることを保証するログ記録の標準を導入することで、ログの集約と分析がより容易になります。次の点を必ず決めてください：

• どのイベントをログに記録するか、そして各イベントの設定
• データをどのように集約し、保存し、分析するか
• ファイアウォールログの最大保存容量、ローテーション方法、その他の属性

構成変更の管理計画を作成します。

ファイアウォールの設定は固定されていません。要件が変化するたびに定期的に見直し、更新して、セキュリティ態勢に隙間が生じないようにする必要があります。 変更管理計画には次の内容を含めてください：

• 変更管理のワークフロー
• 各変更内容とその目的の記録
• 関与するリスクと、それがネットワークに与える可能性のある影響
• 何か問題が起きた場合の対処（緩和）計画

SIEM を導入している組織でも、ログ監視・分析ツールは必要ですか？

SIEM ソリューションは脅威を検知して報告できますが、脆弱性を特定するために設計されたものではなく、しばしば大量の誤警報メッセージを生成します。したがって、こうした制約に対処できるソリューションで SIEM を補完することが重要です。

次の Netwrix ソリューションが役立ちます：

• Netwrix Auditor は SIEM と統合して、よりきめ細かなデータを取り込み、SIEM の出力により多くの文脈（コンテキスト）を反映できるようにします。
• Netwrix Change Tracker は、ファイアウォールの強固な設定ベースラインを確立し、それを維持するのに役立ちます。
• Netwrix StealthDEFEND と Netwrix Threat Prevention は、異常な挙動や高度な攻撃を特定して対応するのに役立ちます。

よくある質問

SIEMとは何ですか？

セキュリティ情報およびイベント管理（Security information and event management（SIEM））ソフトウェアは、複数のソースからのデータを統合し、相関付けして分析することで、悪意のある活動を見つけて通知します。

SIEM は何のために使われますか？

SIEM ソリューションは、リアルタイムの脅威検知に使用されます。

SIEM にはどのような制限がありますか？

SIEM は複雑な攻撃の検知に役立つ一方で、誤検知のアラートを大量に生成して対応チームを圧倒してしまうことがよくあります。さらに、SIEM は、攻撃を未然に防ぐために軽減できる組織のセキュリティ態勢上の脆弱性を特定することを目的として設計されていません。