バージョンアップサービスSIEM運用監視サービスFAQ技術情報FAQよくある質問ブログ閉じる三菱電機インフォメーションシステムズ株式会社様ダウンロードはこちらPDF標的型サイバー攻撃対策に取り組むMDIS。三菱電機インフォメーションシステムズ株式会社(以下、MDIS)は、三菱電機のIT事業戦略を担うIT高度プロフェッショナル集団である。わたるシステムライフサイクル全般をサポートしている。MDISで品質保証や生産システムの開発などを担う生産技術本部では、従来からの情報セキュリティ施策として、ファイアウォールやWebフィルター、ウイルス対策ソフト、ネットワークフォレンジックシステム、ふるまい検知機器などを段階的に導入し、それらを複合的に機能させることで、標的型サイバー攻撃による社内への不正アクセスの防止やウイルス・マルウェアの駆除、情報漏えい対策を実施。それは現在も継続している。社内の端末へのマルウェア侵入が、ふるまい検知機器やウイルス対策ソフトなどで検出された場合、関連する機器から発生する大量のログを機器ごとの担当者が手動で収集していたため、その集約と分析・調査に大幅な時間と手間を要していた。不正アクセスが発見された場合、プロキシなどでインターネット通信のログを解析するが、プロキシだけでも1日あたり数GBのログを発生している上に、調査対象が複数のセキュリティシステムに分散される場合が多く、数名の担当者がそれぞれの担当機器のログを収集・検索し、それらを突き合わせて総合的に分析しなければならなかった。1インシデントあたりの分析に、早くても数時間、長い場合はまる1日程度を費やしていたほか、他のログインログを調査する場合にはまた別の担当者が数時間かけて調査するなど、ログ検索時間の遅延と人的負担の増大が大きな課題となっていた。ログの分析はインシデント発生の事後対策となってしまうことから、不正アクセスなどをリアルタイム、もしくは事前に攻撃の兆候を検知してアラートが上がる仕組みの必要性も議論された。そのため、目的の異なる複数のセキュリティシステムからのログを一元的に収集・統合し、迅速に検索・分析できるシステムの導入が早急に求められた。多種・大量ログの迅速な検索技術と運用の柔軟性・保守性でSplunkを選択2013年半ばから調査を進める中で、いくつかのログ分析製品が候補に上がったが、それぞれの機能を詳細に比較・検証した結果、マクニカネットワークスが提供する「SplunkEnterprise」(以下、Splunk)がMDISの業務に最も適切と判断された。Splunkは多品種かつ大量のログを迅速に検索できる独自の技術を備えている上に、データフォーマット定義の容易性やクエリ(処理要求)の柔軟性が高く、運用保守性(バージョンアップの容易さやオンラインマニュアルの充実)などの面でも優位性があった。スモールスタートが可能で、効果を見極めながら活用範囲を拡大できる柔軟性があるほか、マクニカネットワークスの提供するワンストップのサポートサービスが導入後のスムーズな運用に役立つと判断されたことも選定の大きな決め手となった。MDISでは2014年1月にSplunkの導入を正式に決定した。2014年3月にログの取り込みを開始し、5月~8月にかけてSplunkコマンドを使ってログ分析用の検索式を開発。Splunkサーバ上で検索式の検証とシミュレーションを繰り返し実施し、必要とされる性能が確認できたことで、9月にSplunkの本番環境での稼働開始と同時に、検索式の運用もスタートさせた。運用開始当初は、マルウェアの通信と疑われる通信の調査や、不審な通信(異常に大きなリクエストなど)の有無を判断する通信傾向調査、ふるまい検知機器でのアラート発生時の調査などを中心に、セキュリティシステムからのログをSplunk上で検索しており、今後運用経験を蓄積しながら段階的にログ収集の対象範囲を拡大していく方針となった。導入後、分散していた複数のセキュリティ機器が生成するログの一元管理と可視化が可能になったことで、端末からの通信ログを多角的に分析している。導入前に数時間~1日かけていたログの検索作業も、数分レベルにまで短縮し、セキュリティインシデントの迅速な調査・分析が可能になった。従来は、感染拡大の調査を行うには全てのログを手作業で収集し、担当者が時間をかけて目視でチェックしなければならなかったが、現在はSplunkで収集したログに検索式を適用するだけでチェックが完了するため、文字通りオートマチックな調査が可能になり、作業の効率化とセキュリティの強化が同時に実現したといえる。検索式の活用により、インシデントが発生した時に同様なインターネット通信が過去に行われていたかを遡って検索することができ、調査業務の負担が大幅に軽減されたという。検索式を高度化して適用することで、異常な事象の発生を事前に検知することも可能になるため、インシデントのプロアクティブなチェックも今後期待できるようになった。今後はパラメータのチューニングによる検索精度のさらなる向上や、新たな検索式の研究と開発などに取り組みながら検索のバリエーションを増やし、日々変化する新たな脅威に対応できるより強固なセキュリティ基盤の構築を実現していく計画だ。Splunkではセキュリティ以外にもさまざまな機能が実現できることから、ビッグデータ分析などの方向で効果的な活用方法を模索していくことも視野に入れているという。今回のSplunk導入および運用フェーズにおいて、MDISの生産技術本部ではマクニカネットワークスの迅速なサポートや的確なアドバイスが大いに役立ったと高く評価している。さらなるSplunk活用に向けて、国内でマクニカネットワークス社のみが提供する、Splunk社認定トレーニングや無償のハンズオンセミナーなどを活用しながらスキルと経験を蓄積していく考えだ。その積極的な取り組みによって、今後MDISが三菱電機の戦略IT企業としてどのようにIT事業の可能性を広げ、社会へ先進のソリューションを創出していくかが大いに注目される。http://www.mdis.co.jp/三菱電機の研究所群やグループ企業群と密接に連携して事業を推進することで、三菱電機グループのIT事業における中核企業としての役割を担う。現在の主なビジネスフィールドは、金融システム、社会インフラ、製造業、流通システムなど広範囲にわたる。