ポリシーで使用する セキュリティログ監視 ルールを定義する

新しい セキュリティログ監視 ルールを作成します

1. Deep Security Managerで、[ポリシー]→[共通オブジェクト]→[ルール]→[セキュリティログ監視ルール] に移動します。
2. [新規]→[新しいセキュリティログ監視ルール] をクリックします。
3. [一般] タブで、ルールの名前と説明を入力します (説明は省略できます)。
4. [コンテンツ] タブで、ルールを定義します。ルールを定義する一番簡単な方法は、[基本ルール] を選択し、表示されるオプションを使用してルールを定義する方法です。さらにカスタマイズが必要な場合は、[カスタム (XML)] を選択し、定義しているルールをXMLビューに切り替えることができます。

   注意 [基本ルール] ビューに戻すと、[カスタム (XML)] ビューで加えた変更はすべて失われます。

   XMLベースの言語を使用して独自のセキュリティログ監視ルールを作成する場合は、OSSEC のドキュメントを参照するか、サポートプロバイダにお問い合わせください。
   基本ルールテンプレートでは以下のオプションを使用できます。
   • ルールID: ルールIDは、ルールの一意の識別子です。OSSECでは、ユーザ指定のルール用に100000～109999を定義します。このフィールドには、新しい一意のルールIDがDeep Security Managerによって事前に入力されています。
   • レベル: ルールにレベルを割り当てます。ゼロ (0) は、ルールによってイベントが記録されないことを示しますが、このルールを監視する他のルールが発生する可能性があります。
   • グループ: 1つ以上のカンマ区切りのグループにルールを割り当てます。これが便利なのは、ある1つのルールの発生時に発生する複数のルール、または特定のグループに属するルールを作成した後に依存関係が使用されるときです。
   • ルールの説明: ルールの説明。
   • パターン照合: これは、ルールがログ内を検索するパターンです。一致するものが検出されるとルールがトリガされます。パターン照合では、正規表現またはより簡単な文字列パターンをサポートします。「文字列パターン」というパターンの種類は正規表現よりも処理が高速ですが、サポートされるのは次に示す3つの特殊な処理のみです。
     • ^ (caret): テキストの先頭を指定します
     • $ (dollar sign): テキストの終了を指定します
     • | (pipe): 複数のパターン間に「OR」を作成します
     セキュリティログ監視モジュールで使用される正規表現の構文については、https://www.ossec.net/docs/syntax/regex.htmlを参照してください。
   • 依存関係: 別のルールへの依存関係を設定すると、現在のルールでは、このエリアに指定したルールがトリガされた場合にもイベントが記録されます。
   • [頻度] は、ルールがトリガされるまでの特定の期間内にルールを照合する必要のある回数です。
   • [期間] は、イベントを記録するためにルールを特定の回数 (上記の頻度) トリガするまでの期間 (秒数) です。

     注意 [コンテンツ]タブのみが表示されますセキュリティログ監視自分で作成したルールセキュリティログ監視 ルールには、 セキュリティログ監視 ルールの設定オプションがある場合はその代わりに[設定]タブがあります。

5. [ファイル]タブで、ルールでモニタしたいファイルのフルパスを入力し、ファイルの種類を指定します。パスとファイル名はグロブ文字をサポートしていないことに注意してください。
6. [オプション] タブの [アラート] セクションで、このルールでアラートをトリガするかどうかを選択します。
   [最小のアラート重要度] は、基本ルールまたはカスタム (XML) テンプレートを使用してルールに対してアラートをトリガする最小の重大度レベルを設定します。

   注意 基本ルールテンプレートは、一度に1つのルールを作成します。1つのテンプレートに複数のルールを書き込むには、カスタム (XML) テンプレートを使用できます。カスタム (XML) テンプレート内でレベルが異なる複数のルールを作成する場合は、[最小のアラート重要度]設定を使用して、そのテンプレート内のすべてのルールに対するアラートをトリガする最小の重要度を選択できます。

7. [割り当て対象] に割り当てられました]タブには、この セキュリティログ監視 ルールを使用しているポリシーとコンピュータが表示されます。新しいルールは作成中であるため、まだ割り当てられていません。
8. [OK] をクリックします。このルールをポリシーとコンピュータに割り当てる準備ができました。

デコーダ

• log::イベントのメッセージセクション
• full_log::全体のイベント
• 場所::ログの生成元
• hostname::イベント発生元のホスト名
• program_name:: イベントのSyslogヘッダで使用されるプログラム名
• srcip::イベント内の送信元のIPアドレス
• dstip::イベント内の送信先のIPアドレス
• srcport:: イベント内の送信元のポート番号
• dstport:: イベント内の送信先のポート番号
• protocol::イベント内のプロトコル
• action::イベント内で実行された処理
• srcuser::イベント内の送信元のユーザ
• dstuser::イベント内の送信先のユーザ
• id::イベントからのIDとしてデコードされたID
• status::イベント内のデコードされたステータス
• command::イベント内で呼び出されるコマンド
• url::イベント内のURL
• data::イベントから抽出される追加データ
• systemname::イベント内のシステム名

• アラートの発令 (セキュリティログ監視ルールの [プロパティ] 画面の [オプション] タブで設定できます)
• イベントはsyslogに書き込むことができます。([管理]→ [システム設定]→ [イベントの転送]タブの[SIEM]エリアで設定可能です。)
• イベントはDeep Security Managerに送信できます。([ポリシーまたはコンピュータエディタ]→[設定]→[イベントの転送]タブの[セキュリティログ監視のSyslog設定]設定で構成可能です。)

サブルール

グループ

<group name="syslog,sshd,"> 
</group> 

注意 グループ名の末尾にカンマが付いていることに注意してください。末尾のカンマは、[<if_group></if_group>] タグを使用して、このルールに別のサブルールを条件付きで追加する場合に必要です。

注意 セキュリティログ監視 ルールのセットがエージェントに送信されると、エージェントの セキュリティログ監視 エンジンは、割り当てられた各ルールからXMLデータを取得し、基本的に単一の長い セキュリティログ監視 ルールになるように組み込みます。グループ定義の中には、トレンドマイクロが作成したすべての セキュリティログ監視 ルールに共通のものがあります。そのため、トレンドマイクロには「Default Rules Configuration」と呼ばれるルールがあります。このルールはこれらのグループを定義し、常に他のトレンドマイクロのルールとともに割り当てられます (割り当てるルールに「Default Rules Configuration」ルールを選択しない場合は、「Default Rules Configuration」ルールが自動的に割り当てられることを知らせる通知が表示されます)。独自の セキュリティログ監視 ルールを作成し、トレンドマイクロ作成ルールを割り当てずにコンピュータに割り当てる場合は、[初期設定ルール設定]ルールの内容を新しいルールにコピーするか、「初期設定ルールの設定」の「コンピュータへの割り当て」のルールを参照してください。

ルール、ID、およびレベル

<group name="syslog,sshd,"> 
   <rule id="100120" level="5"> 
   </rule> 
   <rule id="100121" level="6"> 
   </rule> 
</group>

注意 カスタムルールには、100,000以上のID値を指定する必要があります。

注意 イベントの自動タグ付けが有効な場合は、イベントにグループ名のラベルが付けられます。セキュリティログ監視 ルールでは、グループをユーザフレンドリなバージョンに変更する変換テーブルを使用します。そのため、たとえば、「login_denied」は「ログイン拒否」と表示されます。カスタムルールのリストには、ルール内に表示されるグループ名が表示されます。

説明

<group name="syslog,sshd,">
	<rule id="100120" level="5">
		<group>authentication_success</group>
		<description>SSHD testing authentication success</description>
	</rule>
	<rule id="100121" level="6">
		<description>SSHD rule testing 2</description>
	</rule>
</group>

デコード形式

<rule id="100123" level="5">
	<decoded_as>sshd</decoded_as>
	<description>Logging every decoded sshd message</description>
</rule>

注意 利用可能なデコーダーを表示するには、[セキュリティログ監視ルール]ページに移動し、[Decoders.]をクリックします。[1002791-Default Log Decoders]を右クリックして、[プロパティ]を選択します。[設定]タブに移動して、[デコーダの表示]をクリックします。

一致項目

 Jan 1 12:34:56 linux_server sshd[1231]: Failed password for invalid
	user jsmith from 192.168.1.123 port 1799 ssh2

<rule id="100124" level="5">
	<decoded_as>sshd</decoded_as>
	<match>^Failed password</match>
	<description>Failed SSHD password attempt</description>
</rule>

注意 正規表現のキャレット ("^") は文字列の先頭を示しています。「Failed password」はログの先頭には表示されませんが、セキュリティログ監視デコーダーがログをセクションに分割します。詳細についてはデコーダーを参照してください。これらのセクションの1つは「log」で、これはログのメッセージ部分であり、「full_log」はログ全体を指します。

条件文

<group name="syslog,sshd,">
	<rule id="100123" level="2">
		<decoded_as>sshd</decoded_as>
		<description>Logging every decoded sshd message</description>
	</rule>
	<rule id="100124" level="7">
		<if_sid>100123</if_sid>
		<match>^Failed password</match>
		<group>authentication_failure</group>
		<description>Failed SSHD password attempt</description>
	</rule>
	<rule id="100125" level="3">
		<if_sid>100123</if_sid>
		<match>^Accepted password</match>
		<group>authentication_success</group>
		<description>Successful SSHD password attempt</description>
	</rule>
</group>

評価の階層

注意 階層型の親子構造を使用すると、ルールの効率を向上させることができます。親ルールがtrueと評価されない場合、 セキュリティログ監視 エンジンはその親の子を無視します。

注意 [<if_sid></if_sid>] タグを使用して、まったく異なる セキュリティログ監視 ルール内のサブルールを参照できますが、後でルールを確認することが非常に困難になるため、この処理は避けてください。

<rule id="100127" level="10">
	<if_sid>100125</if_sid>
	<time>6 pm - 8:30 am</time>
	<description>Login outside business hours.</description>
	<group>policy_violation</group>
</rule>

ログエントリのサイズに関する制限

<rule id="100127" level="10" maxsize="2000">
	<if_sid>100125</if_sid>
	<time>6 pm - 8:30 am</time>
	<description>Login outside business hours.</description>
	<group>policy_violation</group>
</rule>

コンポジットルール

<rule id="100130" level="10" frequency="x" timeframe="y">
</rule> 

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_sid>100124</if_matched_sid>
	<description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_group>authentication_failure</if_matched_group>
	<same_source_ip />
	<description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_regex>^Failed password</if_matched_regex>
	<same_source_ip />
	<description>5 Failed passwords within 10 minutes</description>
</rule>

実際の使用例

1. アプリケーションログを記録する場所
2. どの セキュリティログ監視 デコーダを使用してログファイルを復号できますか？
3. ログファイルメッセージの一般的な形式

1. Windowsイベントビューア
2. Windowsイベントログ (eventlog)
3. Windowsイベントログ形式 (次のコア属性を使用)

   • ソース: CMS
   • カテゴリ: なし
   • イベント: <アプリケーションイベントID>

• CMSアプリケーションログ (ソース: CMS)

  • 認証 (イベント: 100～119)

    • ユーザログインの成功 (イベント: 100)
    • ユーザログインの失敗 (イベント: 101)
    • 管理者ログインの成功 (イベント: 105)
    • 管理者ログインの失敗 (イベント: 106)
  • 一般エラー (種類: エラー)

    • データベースエラー (イベント: 200～205)
    • ランタイムエラー (イベント: 206～249)
  • アプリケーション監査 (種類: 情報)

    • コンテンツ

      • 新しいコンテンツの追加 (イベント: 450～459)
      • 既存のコンテンツの変更 (イベント: 460～469)
      • 既存のコンテンツの削除 (イベント: 470～479)
    • 管理

      • ユーザ

        • 新しいユーザの作成 (イベント: 445～446)
        • 既存のユーザの削除 (イベント: 447～449)

1. Deep Security Managerで[ポリシー]→ [共通オブジェクト]→ [ルール]→[セキュリティログ監視ルール]に移動し、[新規]をクリックして[新しいセキュリティログ監視ルールのプロパティ]ウィンドウを表示します。
2. 新しいルールの名前と説明を指定し、[コンテンツ] タブをクリックします。
3. 新しいカスタムルールを作成する最も簡単な方法は、基本ルールテンプレートを使用することです。[基本ルール] オプションを選択します。
4. [ルールID] フィールドには、未使用のID番号 (100,000以上) が自動的に入力されます。これは、カスタムルール用に予約されたIDです。
5. [レベル]設定を[低 (0)]に設定します。
6. ルールに適切なグループ名を指定します。ここでは「cms」とします。
7. 短いルールの説明を提供してください。
8. 次に[カスタム (XML)]オプションを選択します。 "Basic"ルールに選択したオプションはXMLに変換されます。
9. [ファイル] タブをクリックし、[ファイルの追加] ボタンをクリックして、ルールを適用するアプリケーションログファイルおよびログの種類を追加します。ここでは、「Application」、およびファイルの種類として「eventlog」を選択します。
   

   注意 [Eventlog] は、ログファイルの場所とファイル名を指定する必要がないため、Deep Securityの一意のファイルタイプです。その代わりに、Windowsイベントビューアに表示されるログの名前を入力してください。ファイルの種類がeventlogの場合の他のログの名前は、「Security」、「System」、「Internet Explorer」、またはWindowsイベントビューアに表示されるその他のセクションになる可能性があります。その他のファイルの種類の場合は、ログファイルの場所と名前が必要です (C/C++ strftime () 変換指定子を使用できます。その他の役立つ変換指定子については、以降の表を参照してください)

10. [OK] をクリックして基本ルールを保存します。
11. 作成された基本ルールのカスタム (XML) を使用すると、以前に特定されたログのグループに基づいて、グループへの新しいルールの追加を開始することができます。基本ルールの条件は初期ルールに設定します。次の例では、ソース属性が「CMS」のWindowsイベントログが、CMS基本ルールによって特定されています。

    <group name="cms">
    	<rule id="100000" level="0">
    		<category>windows</category>
    		<extra_data>^CMS</extra_data>
    		<description>Windows events from source 'CMS' group messages.</description>
    	</rule>

12. 次に、識別されたロググループから後続のルールを構築します。次の例では、認証およびログインの成功と失敗を識別し、イベントIDによってログを記録します。

    <rule id="100001" level="0">
    	<if_sid>100000</if_sid>
    	<id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
    	<group>authentication</group>
    	<description>CMS Authentication event.</description>
    </rule>
    
    <rule id="100002" level="0">
    	<if_group>authentication</if_group>
    	<id>100</id>
    	<description>CMS User Login success event.</description>
    </rule>
    <rule id="100003" level="4">
    	<if_group>authentication</if_group>
    	<id>101</id>
    	<group>authentication_failure</group>
    	<description>CMS User Login failure event.</description>
    </rule>
    <rule id="100004" level="0">
    	<if_group>authentication</if_group>
    	<id>105</id>
    	<description>CMS Administrator Login success event.</description>
    </rule>
    <rule id="100005" level="4">
    	<if_group>authentication</if_group>
    	<id>106</id>
    	<group>authentication_failure</group>
    	<description>CMS Administrator Login failure event.</description>
    </rule>

13. 次に、確立されたルールを使用して、任意のコンポジットルールまたは相関ルールを追加します。次の例は、重要度の高いコンポジットルールを示しています。このルールは、ログインの失敗が10秒間に5回繰り返されたインスタンスに適用されます。

    <rule id="100006" level="10" frequency="5" timeframe="10">
    	<if_matched_group>authentication_failure</if_matched_group>
    	<description>CMS Repeated Authentication Login failure event.</description>
    </rule>

14. すべてのルールの重要度レベルが適切かどうかを確認します。たとえば、エラーログの重要度はレベル5以上でなければなりません。情報ルールの重要度は低くなります。
15. 最後に、新しく作成されたルールを開き、[設定] タブをクリックして、カスタムルールのXMLをルールフィールドにコピーします。[適用] または [OK] をクリックして変更内容を保存します。

<group name="cms">

	<rule id="100000" level="0">
		<category>windows</category>
		<extra_data>^CMS</extra_data>
		<description>Windows events from source 'CMS' group messages.</description>
	</rule>

	<rule id="100001" level="0">
		<if_sid>100000</if_sid>
		<id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
		<group>authentication</group>
		<description>CMS Authentication event.</description>
	</rule>

	<rule id="100002" level="0">
		<if_group>authentication</if_group>
		<id>100</id>
		<description>CMS User Login success event.</description>
	</rule>

	<rule id="100003" level="4">
		<if_group>authentication</if_group>
		<id>101</id>
		<group>authentication_failure</group>
		<description>CMS User Login failure event.</description>
	</rule>

	<rule id="100004" level="0">
		<if_group>authentication</if_group>
		<id>105</id>
		<description>CMS Administrator Login success event.</description>
	</rule>

	<rule id="100005" level="4">
		<if_group>authentication</if_group>
		<id>106</id>
		<group>authentication_failure</group>
		<description>CMS Administrator Login failure event.</description>
	</rule>

	<rule id="100006" level="10" frequency="5" timeframe="10">
		<if_matched_group>authentication_failure</if_matched_group>
		<description>CMS Repeated Authentication Login failure event.</description>
	</rule>

	<rule id="100007" level="5">
		<if_sid>100000</if_sid>
		<status>^ERROR</status>
		<description>CMS General error event.</description>
		<group>cms_error</group>
	</rule>

	<rule id="100008" level="10">
		<if_group>cms_error</if_group>
		<id>^200|^201|^202|^203|^204|^205</id>
		<description>CMS Database error event.</description>
	</rule>

	<rule id="100009" level="10">
		<if_group>cms_error</if_group>
		<id>^206|^207|^208|^209|^230|^231|^232|^233|^234|^235|^236|^237|^238|
			^239^|240|^241|^242|^243|^244|^245|^246|^247|^248|^249</id>
		<description>CMS Runtime error event.</description>
	</rule>

	<rule id="100010" level="0">
		<if_sid>100000</if_sid>
		<status>^INFORMATION</status>
		<description>CMS General informational event.</description>
		<group>cms_information</group>
	</rule>

	<rule id="100011" level="5">
		<if_group>cms_information</if_group>
		<id>^450|^451|^452|^453|^454|^455|^456|^457|^458|^459</id>
		<description>CMS New Content added event.</description>
	</rule>

	<rule id="100012" level="5">
		<if_group>cms_information</if_group>
		<id>^460|^461|^462|^463|^464|^465|^466|^467|^468|^469</id>
		<description>CMS Existing Content modified event.</description>
	</rule>

	<rule id="100013" level="5">
		<if_group>cms_information</if_group>
		<id>^470|^471|^472|^473|^474|^475|^476|^477|^478|^479</id>
		<description>CMS Existing Content deleted event.</description>
	</rule>

	<rule id="100014" level="5">
		<if_group>cms_information</if_group>
		<id>^445|^446</id>
		<description>CMS User created event.</description>
	</rule>

	<rule id="100015" level="5">
		<if_group>cms_information</if_group>
		<id>^447|449</id>
		<description>CMS User deleted event.</description>
	</rule>

</group>

セキュリティログ監視 ルールの重大度レベルおよび推奨される使用法

strftime()

セキュリティログ監視 ルールを調べる

セキュリティログ監視 のルール構造とイベント照合プロセス

• 3800 - Grouping of Exchange Rules - Default - ignore

  • 3801 - Email rcpt is not valid (invalid account) - Default - Medium (5)

    • 3851 - Multiple email attempts to an invalid account - Default - High (10)

      • Frequency (1 to 128) - 10
      • Time Frame (1 to 86400) - 120
      • Time to ignore this rule after triggering it once - to avoid excessive logs (1 to 86400) - 120
  • 3802 - Email 500 error code - Default - Medium (4)

    • 3852 - Email 500 error code (spam) - Default - High (9)

      • Frequency (1 to 128) - 12
      • Time Frame (1 to 86400) - 120
      • Time to ignore this rule after triggering it once - to avoid excessive logs (1 to 86400) - 240

重複しているサブルール