SIEMのコスト削減とパフォーマンス向上(誤検知防止)の技-その1.フィルター(Add filter)

螺子です。今回は、「SIEMのコスト削減とパフォーマンス向上(誤検知防止)の技」と題して、SSBの機能を利用して、SIEMのコストを削減する方法およびSIEMのパフォーマンスを向上(誤検知防止)させる方法について、何回かにわたって投稿したいと思います。

はじめに

セキュリティインシデント対策として、ログを長期間保存すると共にSIEMに転送しているお客様は数多くいるのではないでしょうか？

多くのSIEMは受信したログ容量で課金されています。システムのデバッグログをフィルターし、SIEMへのデバッグログを転送しなくしたところ、ログ量が削減され、コストが大幅に削減されたという話を聞いたことがあります。

SIEMのコストを削減するには、必要なログのみSIEMに転送し、SIEMへのログ量を削減することが有効な方法となります。

本記事では、主に不要なデバッグログをフィルターし、SIEMへのログ量を削減する方法について説明します。

フィルター(`Add filter`による)設定

SSBのフィルター(`Add filter`フィールドによる)設定を、以下に示します。

ここでは、ログをSIEMへ転送する設定(パス、ディスティネーションなど)は既に設定済みであるものとします。転送設定については、過去記事「次世代ファイアウォールPalo Alto(Prisma)のログをSOCへ転送！」が参考になりますので、ご参照ください。

`Add filter`フィールドのコンボボックスから`priority`を選択します。

Syslogメッセージには、メッセージのヘッダー部に`ファシリティー`値と`セベリティー`値が含まれています。詳細については、「BSD-syslog(RFC 3164)メッセージフォーマット」をご参照ください。

ここでは、`セベリティー`(SSBでは`priority`と呼んでいる)値が`7:Debug`、つまりデバッグログをフィルターし、SEIMへ転送しないようにします。

をクリックします。

`Add filter`が`priority`に変わり、条件を設定できるようになります。

条件(演算子)として`is not`を選択します。

条件値に`Debug`を指定します。

これで、プライオリティが`Debug`以外のログをフィルターできます。[Commit]をクリックして設定を保存します。

ログ容量の確認

それでは、受信したログ量を確認・比較してみます。今回は、Kiwi Syslog Message Generatorを使用してプライオリティをランダムに生成してログを送信しています。

フィルター無効時のログ数は218,500メッセージです。

受信したログのプライオリティを参照すると、プライオリティ値7のDebugログが含まれています。

フィルター有効時のログ数は191,313メッセージとなりました。

プライオリティを参照すると、プライオリティ値7のDebugログは含まれていません。

保存したログファイルの容量は、フィルター無効時は22MBでフィルター有効時は19MBとなりました。

# du -h messages.log
22M     messages.log

# du -h messages.log
19M     messages.log

ログ数で12.4%、ログ容量で13.6%を削減できていることがわかります。

おわりに

いかがでしたでしょうか。フィルター機能を利用してSIEMへ不要なログを転送しないことで、ログ容量を削減できるようになりました。これにより、SIEMコストの削減できる可能性があることがわかりました。

SSBでは、フィルターでSIEMへ転送したログを含むすべてのログを長期的に保存します。SSBは、データディスクなどに必要な保存容量を割り当てることでログを長期保存でき、保存したログにインデックス付けすることで高速検索が可能です。そうすることで、SIMEに保存されていないログを閲覧・検索および調査する必要が出てきた場合でもログを横断的に調査できます。

SSBの機能

本記事で使用したSSBの機能は以下の通りです。

• フィルター(Add filter)

参考資料

フィルター設定の詳細については、syslog-ng Store Box 7 LTS管理者ガイドの「10.3 メッセージのフィルター」を参照してください。

また、フィルターについては、過去記事「フィルターを使用して、必要なログのみ保存してみる！」でも紹介していますので合わせてご参照してください。

「リモートアクセスログを調査」連載記事リスト

• (その1)「フィルターログスペースを使用して必要なログのみ検索・抽出してみる！」
• (その2)「マルチログスペースを使用してログを集約してみる！」
• (その3)「リモートログスペースを使用して他のSSBに保存したログを検索・抽出してみる！」
• (その4)「サービス残業させていない？リライトを使用して日時を指定して検索してみる！」
• (その5)「サービス残業させていない？業務時間外勤務の実態をグラフで見やすく！」
• (その6)「サービス残業させていない？レポートを日ごと、週ごと、月ごとに定期的に送信！」
• (その7)「不正アクセスされていない？アクセス元IPアドレスから国・都市・ASNの調査！」
• (その8)「不正アクセスされていない？認証エラーの確認はしなくて大丈夫？」
• (その9)「不正アクセスされていない？認証エラーのログを見逃さない！(コンテンツベースアラート)」
• (その10)「不正アクセスされていない？認証エラーのログを見逃さない！(パターンデータベースアラート)」
• (その11)「不正アクセスされていない？認証エラーのログを見逃さない！(メッセージレートアラート)」
• (その12)「不正アクセスされていない？認証エラーログを可視化(平常時の確認)」

「syslog-ng Store Box大活用連載企画」連載記事リスト

• 第1回「syslog-ng Store Boxを知る」
• 第2回「syslog-ng Store Boxを仮想環境にインストールする」
• 第3回「syslog-ng Store Boxで出来ることまとめ」
• 第4回「Wiresharkでsyslogプロトコルパケットを覗く」
• 第5回「Ciscoスイッチ、FortigateファイアウォールログをSSBで受信！よりログを検索しやすく」
• 第6回「RPC APIを使ってみる、自社システムに統合！ログ検索の自動化！」
• 第7回「Active Directoryと連携して、Active Directoryユーザー認証！」
• 第8回「SSBをHA(High Availability)構成で構築してみる！」
• 第9回「ログをバイナリおよびテキスト形式で保存、違いを比較してみる」
• 第10回「ログファイルを共有して、外部ホストからアクセスしてみる！」
• 第11回「フィルターを使用して、必要なログのみ保存してみる！」
• 第12回「SSBの監視とアラート！SNMPマネージャーで監視およびSNMPトラップを受信してみる」
• 第13回「コンテンツベースアラート。重要なログを見逃さない！」
• 第14回「設定変更履歴。コンプライアンスにも対応！」
• 第15回「トラブルシューティングに役立つ機能。問題を迅速に解決！」
• 第16回「ユーザーアクセス制御。アクセス権限とタイプを設定してみる！」
• 第17回「リライト機能。ログの整形や正規化！」
• 第18回「バックアップリストア。システムデータおよびログデータをバックアップ、リストアしてみる！」
• 第19回「アーカイブ/クリーンアップ。ログデータをアーカイブ、クリーンアップしてみる！」
• 第20(最終)回「SSBの有効活用および安定稼働のためのポイントを紹介！」

---

---

SSBは、高信頼ログ管理アプライアンスです。様々なデバイスおよびアプリケーションからログメッセージを収集、分類、フィルタリング、正規化して安全に保存可能です。ログデータの信頼性を担保し、膨大なログが発生する高負荷環境、あるいはログロストが許されない企業・組織のログ管理に最適です。

syslog-ng Store Boxについての詳細は、製品紹介ページ・製品ガイドをご参照ください。