ポリシーで使用する セキュリティログ監視 ルールを定義する

セキュリティログ監視ルールを作成する

1. Deep Security Managerで、[ポリシー]→[共通オブジェクト]→[ルール]→[セキュリティログ監視ルール] に移動します。
2. [新規]→[新しいセキュリティログ監視ルール] をクリックします。
3. [一般] タブで、ルールの名前と説明を入力します (説明は省略できます)。
4. [コンテンツ] タブで、ルールを定義します。ルールを定義する一番簡単な方法は、[基本ルール] を選択し、表示されるオプションを使用してルールを定義する方法です。さらにカスタマイズが必要な場合は、[カスタム (XML)] を選択し、定義しているルールをXMLビューに切り替えることができます。
   [基本ルール] ビューに戻すと、[カスタム (XML)] ビューで加えた変更はすべて失われます。
   XMLベースの言語を使用して独自のセキュリティログ監視ルールを作成する場合は、OSSEC のドキュメントを参照するか、サポートプロバイダにお問い合わせください。
   基本ルールテンプレートでは以下のオプションを使用できます。
   • ルールID: ルールIDはルールの一意の識別子です。OSSECは100000から109999をユーザ定義ルールのスペースとして定義しています。Deep Security Managerは新しい一意のルールIDでフィールドを事前入力します。
   • レベル: ルールにレベルを割り当てます。ゼロ (0) は、ルールによってイベントが記録されないことを示しますが、このルールを監視する他のルールが発生する可能性があります。
   • グループ: 1つ以上のカンマ区切りのグループにルールを割り当てます。これが便利なのは、ある1つのルールの発生時に発生する複数のルール、または特定のグループに属するルールを作成した後に依存関係が使用されるときです。
   • ルールの説明: ルールの説明。
   • Pattern Matching: これはルールがログ内で探すパターンです。ルールは一致するとトリガーされます。パターンマッチングは正規表現またはより単純な文字列パターンをサポートします。文字列パターンのパターンタイプは正規表現よりも高速ですが、3つの特殊操作のみをサポートします。
     • ^ (caret): テキストの先頭を指定します
     • $ (dollar sign): テキストの終了を指定します
     • | (pipe): 複数のパターン間に「OR」を作成します
     セキュリティログ監視モジュールで使用される正規表現の構文については、https://www.ossec.net/docs/syntax/regex.htmlを参照してください。
   • Dependency: 別のルールに依存関係を設定すると、この領域で指定されたルールがトリガーされた場合にのみ、イベントが記録されます。
   • [頻度] は、ルールがトリガされるまでの特定の期間内にルールを照合する必要のある回数です。
   • [期間] は、イベントを記録するためにルールを特定の回数 (上記の頻度) トリガするまでの期間 (秒数) です。
     [内容]タブは、ユーザー自身が作成したセキュリティログ監視ルールにのみ表示されます。トレンドマイクロによって発行されたセキュリティログ監視ルールには代わりに[設定]タブが表示され、セキュリティログ監視ルールの設定オプションがある場合はそれが表示されます。
5. [ファイル]タブで、ルールでモニタしたいファイルのフルパスを入力し、ファイルの種類を指定してください。
   グロブ文字はファイル名で使用する場合にサポートされています。グロブ文字は、パスのディレクトリ部分で2回まで使用する場合にもサポートされています。例えば、/home/user1/testlog*.txt、/home/*/testlog1.txt、/home/*/testlog*.txt、/home/*/user*/testlog*.txtはすべて有効ですが、/home/*/demo*/user*/testlog1.txtは無効です。
6. [オプション] タブの [アラート] セクションで、このルールでアラートをトリガするかどうかを選択します。
   [最小のアラート重要度] は、基本ルールまたはカスタム (XML) テンプレートを使用してルールに対してアラートをトリガする最小の重大度レベルを設定します。
   基本ルールテンプレートは、一度に1つのルールを作成します。1つのテンプレートに複数のルールを書き込むには、カスタム (XML) テンプレートを使用できます。カスタム (XML) テンプレート内でレベルが異なる複数のルールを作成する場合は、[最小のアラート重要度]設定を使用して、そのテンプレート内のすべてのルールに対するアラートをトリガする最小の重要度を選択できます。
7. [割り当て対象] に割り当てられました]タブには、この セキュリティログ監視 ルールを使用しているポリシーとコンピュータが表示されます。新しいルールは作成中であるため、まだ割り当てられていません。
8. [OK] をクリックします。このルールをポリシーとコンピュータに割り当てる準備ができました。

デコーダ

• log::イベントのメッセージセクション
• full_log::全体のイベント
• 場所::ログの生成元
• hostname::イベント発生元のホスト名
• program_name:: イベントのSyslogヘッダで使用されるプログラム名
• srcip::イベント内の送信元のIPアドレス
• dstip::イベント内の送信先のIPアドレス
• srcport:: イベント内の送信元のポート番号
• dstport:: イベント内の送信先のポート番号
• protocol::イベント内のプロトコル
• action::イベント内で実行された処理
• srcuser::イベント内の送信元のユーザ
• dstuser::イベント内の送信先のユーザ
• id::イベントからのIDとしてデコードされたID
• status::イベント内のデコードされたステータス
• command::イベント内で呼び出されるコマンド
• url::イベント内のURL
• data::イベントから抽出される追加データ
• systemname::イベント内のシステム名

• アラートを発生させることができます。セキュリティログ監視ルールの[プロパティ]ウィンドウの[オプション]タブで設定可能です
• イベントはsyslogに書き込むことができます。[Administration > System Settings > Event Forwarding]タブの[SIEM]エリアで設定可能です
• イベントはDeep Security Managerに送信できます。[Policy or Computer Editor > Settings > Event Forwarding]タブの[Log Inspection Syslog Configuration]設定で構成可能です

サブルール

グループ

<group name="syslog,sshd,"> 
</group> 

ルール、ID、およびレベル

<group name="syslog,sshd,"> 
   <rule id="100120" level="5"> 
   </rule> 
   <rule id="100121" level="6"> 
   </rule> 
</group>

説明

<group name="syslog,sshd,">
	<rule id="100120" level="5">
		<group>authentication_success</group>
		<description>SSHD testing authentication success</description>
	</rule>
	<rule id="100121" level="6">
		<description>SSHD rule testing 2</description>
	</rule>
</group>

デコード形式

<rule id="100123" level="5">
	<decoded_as>sshd</decoded_as>
	<description>Logging every decoded sshd message</description>
</rule>

一致項目

 Jan 1 12:34:56 linux_server sshd[1231]: Failed password for invalid
	user jsmith from 192.168.1.123 port 1799 ssh2

<rule id="100124" level="5">
	<decoded_as>sshd</decoded_as>
	<match>^Failed password</match>
	<description>Failed SSHD password attempt</description>
</rule>

条件文

<group name="syslog,sshd,">
	<rule id="100123" level="2">
		<decoded_as>sshd</decoded_as>
		<description>Logging every decoded sshd message</description>
	</rule>
	<rule id="100124" level="7">
		<if_sid>100123</if_sid>
		<match>^Failed password</match>
		<group>authentication_failure</group>
		<description>Failed SSHD password attempt</description>
	</rule>
	<rule id="100125" level="3">
		<if_sid>100123</if_sid>
		<match>^Accepted password</match>
		<group>authentication_success</group>
		<description>Successful SSHD password attempt</description>
	</rule>
</group>

評価の階層

<rule id="100127" level="10">
	<if_sid>100125</if_sid>
	<time>6 pm - 8:30 am</time>
	<description>Login outside business hours.</description>
	<group>policy_violation</group>
</rule>

ログエントリのサイズに関する制限

<rule id="100127" level="10" maxsize="2000">
	<if_sid>100125</if_sid>
	<time>6 pm - 8:30 am</time>
	<description>Login outside business hours.</description>
	<group>policy_violation</group>
</rule>

複合ルール

<rule id="100130" level="10" frequency="x" timeframe="y">
</rule> 

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_sid>100124</if_matched_sid>
	<description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_group>authentication_failure</if_matched_group>
	<same_source_ip />
	<description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
	<if_matched_regex>^Failed password</if_matched_regex>
	<same_source_ip />
	<description>5 Failed passwords within 10 minutes</description>
</rule>

例

1. アプリケーションログを記録する場所
2. どの セキュリティログ監視 デコーダを使用してログファイルを復号できますか？
3. ログファイルメッセージの一般的な形式

1. Windowsイベントビューア
2. Windowsイベントログ (eventlog)
3. Windowsイベントログ形式 (次のコア属性を使用)

   • ソース: CMS
   • カテゴリ: なし
   • イベント: <アプリケーションイベントID>

• CMSアプリケーションログ (ソース: CMS)

  • 認証 (イベント: 100～119)

    • ユーザログインの成功 (イベント: 100)
    • ユーザログインの失敗 (イベント: 101)
    • 管理者ログインの成功 (イベント: 105)
    • 管理者ログインの失敗 (イベント: 106)
  • 一般エラー (種類: エラー)

    • データベースエラー (イベント: 200～205)
    • ランタイムエラー (イベント: 206～249)
  • アプリケーション監査 (種類: 情報)

    • コンテンツ

      • 新しいコンテンツの追加 (イベント: 450～459)
      • 既存のコンテンツの変更 (イベント: 460～469)
      • 既存のコンテンツの削除 (イベント: 470～479)
    • 管理

      • ユーザ

        • 新しいユーザの作成 (イベント: 445～446)
        • 既存のユーザの削除 (イベント: 447～449)

1. Deep Security Managerで、[Policies > Common Objects > Rules > Log Inspection Rules]に移動し、[新規]をクリックして[New Log Inspection Rule Properties]ウィンドウを表示します。
2. 新しいルールに名前と説明を付けて、[内容]タブを選択してください。
3. [Basic Rule]を選択します。新しいカスタムルールを作成する最も簡単な方法は、基本ルールテンプレートから始めることです。
4. [ルールID]フィールドには、カスタムルール用に予約された100,000以上の未使用ID番号が自動的に入力されます。
5. [レベル]設定を[低 (0)]に設定します。
6. ルールに適切なグループ名を指定します。ここでは「cms」とします。
7. 短いルールの説明を提供してください。
8. [Custom (XML)]を選択します。Basicルールに選択したオプションはXMLに変換されます。
9. [ファイル]タブを選択し、[ファイルを追加]をクリックして、ルールを適用するアプリケーションログファイルとログタイプを追加します。この場合、ファイルタイプとしてApplicationとeventlogです。
   
   [Eventlog]はDeep Securityにおいて特別なファイルタイプです。なぜなら、ログファイルの場所やファイル名を指定する必要がないからです。代わりに、Windowsイベントビューアに表示されるログ名をそのまま入力するだけで十分です。eventlogファイルタイプの他のログ名には、Security、System、Internet Explorer、またはWindowsイベントビューアにリストされている他のセクションが含まれることがあります。他のファイルタイプでは、ログファイルの場所とFileNameが必要です。ファイル名に一致させるために、C/C++ strftime () 変換指定子が利用可能です。より便利なもののリストについては、表を参照してください。
10. [OK] をクリックして基本ルールを保存します。
11. 基本ルールCustom (XML) を作成したら、以前に識別されたロググループに基づいてグループに新しいルールを追加し始めることができます。基本ルールの基準を初期ルールに設定する必要があります。次の例では、CMS基本ルールがCMSというSource属性を持つWindowsイベントログを識別しています。

    <group name="cms">
    	<rule id="100000" level="0">
    		<category>windows</category>
    		<extra_data>^CMS</extra_data>
    		<description>Windows events from source 'CMS' group messages.</description>
    	</rule>

12. 特定したロググループから後続のルールを作成して進めます。次の例では、認証とログインの成功と失敗、およびログをイベントID別に識別します。

    <rule id="100001" level="0">
    	<if_sid>100000</if_sid>
    	<id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
    	<group>authentication</group>
    	<description>CMS Authentication event.</description>
    </rule>
    
    <rule id="100002" level="0">
    	<if_group>authentication</if_group>
    	<id>100</id>
    	<description>CMS User Login success event.</description>
    </rule>
    <rule id="100003" level="4">
    	<if_group>authentication</if_group>
    	<id>101</id>
    	<group>authentication_failure</group>
    	<description>CMS User Login failure event.</description>
    </rule>
    <rule id="100004" level="0">
    	<if_group>authentication</if_group>
    	<id>105</id>
    	<description>CMS Administrator Login success event.</description>
    </rule>
    <rule id="100005" level="4">
    	<if_group>authentication</if_group>
    	<id>106</id>
    	<group>authentication_failure</group>
    	<description>CMS Administrator Login failure event.</description>
    </rule>

13. 確立されたルールを使用して、複合ルールまたは相関ルールを追加します。次の例は、10秒間に5回ログイン失敗が繰り返されたインスタンスに適用される、重大度高の複合ルールを示しています。

    <rule id="100006" level="10" frequency="5" timeframe="10">
    	<if_matched_group>authentication_failure</if_matched_group>
    	<description>CMS Repeated Authentication Login failure event.</description>
    </rule>

14. すべてのルールの重要度レベルが適切かどうかを確認します。たとえば、エラーログの重要度はレベル5以上でなければなりません。情報ルールの重要度は低くなります。
15. 新しく作成されたルールを開き、[設定]タブを選択し、カスタムルールXMLをルールフィールドにコピーします。変更を保存するには[適用]または[OK]をクリックします。

<group name="cms">

	<rule id="100000" level="0">
		<category>windows</category>
		<extra_data>^CMS</extra_data>
		<description>Windows events from source 'CMS' group messages.</description>
	</rule>

	<rule id="100001" level="0">
		<if_sid>100000</if_sid>
		<id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
		<group>authentication</group>
		<description>CMS Authentication event.</description>
	</rule>

	<rule id="100002" level="0">
		<if_group>authentication</if_group>
		<id>100</id>
		<description>CMS User Login success event.</description>
	</rule>

	<rule id="100003" level="4">
		<if_group>authentication</if_group>
		<id>101</id>
		<group>authentication_failure</group>
		<description>CMS User Login failure event.</description>
	</rule>

	<rule id="100004" level="0">
		<if_group>authentication</if_group>
		<id>105</id>
		<description>CMS Administrator Login success event.</description>
	</rule>

	<rule id="100005" level="4">
		<if_group>authentication</if_group>
		<id>106</id>
		<group>authentication_failure</group>
		<description>CMS Administrator Login failure event.</description>
	</rule>

	<rule id="100006" level="10" frequency="5" timeframe="10">
		<if_matched_group>authentication_failure</if_matched_group>
		<description>CMS Repeated Authentication Login failure event.</description>
	</rule>

	<rule id="100007" level="5">
		<if_sid>100000</if_sid>
		<status>^ERROR</status>
		<description>CMS General error event.</description>
		<group>cms_error</group>
	</rule>

	<rule id="100008" level="10">
		<if_group>cms_error</if_group>
		<id>^200|^201|^202|^203|^204|^205</id>
		<description>CMS Database error event.</description>
	</rule>

	<rule id="100009" level="10">
		<if_group>cms_error</if_group>
		<id>^206|^207|^208|^209|^230|^231|^232|^233|^234|^235|^236|^237|^238|
			^239^|240|^241|^242|^243|^244|^245|^246|^247|^248|^249</id>
		<description>CMS Runtime error event.</description>
	</rule>

	<rule id="100010" level="0">
		<if_sid>100000</if_sid>
		<status>^INFORMATION</status>
		<description>CMS General informational event.</description>
		<group>cms_information</group>
	</rule>

	<rule id="100011" level="5">
		<if_group>cms_information</if_group>
		<id>^450|^451|^452|^453|^454|^455|^456|^457|^458|^459</id>
		<description>CMS New Content added event.</description>
	</rule>

	<rule id="100012" level="5">
		<if_group>cms_information</if_group>
		<id>^460|^461|^462|^463|^464|^465|^466|^467|^468|^469</id>
		<description>CMS Existing Content modified event.</description>
	</rule>

	<rule id="100013" level="5">
		<if_group>cms_information</if_group>
		<id>^470|^471|^472|^473|^474|^475|^476|^477|^478|^479</id>
		<description>CMS Existing Content deleted event.</description>
	</rule>

	<rule id="100014" level="5">
		<if_group>cms_information</if_group>
		<id>^445|^446</id>
		<description>CMS User created event.</description>
	</rule>

	<rule id="100015" level="5">
		<if_group>cms_information</if_group>
		<id>^447|449</id>
		<description>CMS User deleted event.</description>
	</rule>

</group>

セキュリティログ監視 ルールの重大度レベルおよび推奨される使用法

strftime ( ) 変換指定子

セキュリティログ監視 ルールを調べる

セキュリティログ監視 のルール構造とイベント照合プロセス

• 3800 - Grouping of Exchange Rules - Default - ignore

  • 3801 - Email rcpt is not valid (invalid account) - Default - Medium (5)

    • 3851 - Multiple email attempts to an invalid account - Default - High (10)

      • Frequency (1 to 128) - 10
      • Time Frame (1 to 86400) - 120
      • Time to ignore this rule after triggering it once - to avoid excessive logs (1 to 86400) - 120
  • 3802 - Email 500 error code - Default - Medium (4)

    • 3852 - Email 500 error code (spam) - Default - High (9)

      • Frequency (1 to 128) - 12
      • Time Frame (1 to 86400) - 120
      • Time to ignore this rule after triggering it once - to avoid excessive logs (1 to 86400) - 240

重複したサブルール