Learning(以下、ML)」を使って、ファイアーウォールのログから異常を検知をしてみました。MLの概要は以前書いたこちらの記事を御覧ください。tech.naitwo.me今回は細かな設定手順の話は書いていません。対象のファイアウォールパロアルトネットワークス社の次世代ファイアウォールのログを使います。MLで異常検知させるためには、データベース(Elasticsearch)にログを入れる必要があるので、(株)エーピーコミュニケーションズ(私の所属している会社)のPALallaxを使って格納します。www.ap-com.co.jpどのフィールドを見るか異常検知は、いつもと違う他と違うを検知しますが、何を(※)異常とするかはユーザが選択する必要があります。※トラフィック量、エラーログ数、通信対象の国・・などなど今回はアプリケーションと通信対象の国(宛先)を対象としてみました。*観測期間中に傾向を学習しますアプリケーション異常とみなした通信が発生した場合、画面上の色が変わります。普段使われていない、「ip-in-ip」と「yum」アプリケーションについて異常と判断されています。--該当箇所を拡大--通信対象の国こちらは、普段通信をしていない国への通信が発生したため異常と検知しています。おわりにパロアルトのログには、アプリケーションやユーザ、送信元/宛先国など詳細な情報が含まれています。それらの情報を使って異常検知の仕組みを考えていくと、今までは見過ごしていた攻撃や感染、またはその予兆に気付けるかもしれません。今後、自社製品で精度の高い異常検知ができるように、ML含め考えていきたいと思います。Learningワー...技術系以外の記事はnoteで書いています。JANOG43へ参加します。はてなブログProプロフィール詳細はこちらをご覧下さい。読者になる@naitwo2をフォローコンタクトお問い合わせはこちらからお願いします。(2)スポンサードリンクnote技術系以外の記事はnoteで書いています。月別アーカイブ他にもブログやってますnote(メインブログ)写真ブログスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。