AWS Partner SA ブログ

[速報] 2017年度のプレミアパートナー様が発表されました！！

こんにちは、Partner SA松本です。

いよいよre:Invent 2016が始まりましたが、初日のGlobal Partner Summit 2016にて
APN Premier Consulting Partner様が発表されました。

新しいプレミアパートナーとして日本からはNEC様とNTT DATA様が紹介されました！！
おめでとうございます！
今年はGlobalでも8社と例年よりも少なく、かなり厳しい審査がありました。

 

 

合わせて既存のプレミアパートナー様も紹介され、日本の5社は全て残っています。
Classmethod様、Cloudpack様、NRI様、ServerWorks様、TIS様、おめでとうござます！

これでグローバルでのプレミアパートナー様は55社となり、そのうち7社が日本の企業です。
引き続き、日本市場へのAWS展開に向けて宜しくお願い致します！

----------------------
エコシステムソリューション部 部長
パートナーソリューションアーキテクト
松本 大樹 

[速報] IoT Competencyのロウンチパートナー様が発表されました！

こんにちは、Partner SA松本です。

re:Inventの初日、Global Partner SummitにてIoT Competencyが発表され、
日本からは唯一、SORACOM様がロウンチパートナーとして紹介されました！！
おめでとうございます！

今後共、日本のIoTエコシステムのリードをお願い致します！

----------------------
エコシステムソリューション部 部長
パートナーソリューションアーキテクト
松本 大樹 

[OpsJAWS: やってみようシリーズ] AmazonSNS × AWSLambda × Zabbix 連携によるイベントアラーム監視の実現

Partner SA 酒徳です。本日のやってみようシリーズは、Zabbix第5回目です。Amazon CloudWatch、Amazon SNS、AWS Lambdaをご利用頂きますとシンプルな条件によりアラートをあげることが出来ますが、Zabbixと連携することで、複合アラート(複雑な条件)を設定することが可能になります。本日はTIS佐藤様にご紹介頂きます！

TIS株式会社の佐藤です。TISから提供しているTISエンタープライズOSSサポートサービスの取り組みの一環として行っているAWSとZabbixの効果的な連携検証の結果を連載にてご紹介します。第5回目はAmazonSNSとAWSLambdaとの連携をご紹介します。

AmazonSNS × AWSLambda × Zabbix連携の紹介・特徴

[AmazonSNSとは]

AWSが提供するサービスのひとつでPUSH型のメッセージングサービスです。

HTTP(S)、Email、SMS、AmazonSQS、MobilePushなどへ通知を送信することができます。

また、AWSLambda関数を呼び出すこともできます。

AmazonSNSは、即時性があり、リアルタイムで他のAWSサービスと連携し通知させることが可能です。通知例を挙げると、AutoScalingであればインスタンス起動、削除時のステータス通知。

RDSであれば、DBインスタンスのバックアップ開始、完了時の通知。更に、セキュリティグループ、ストレージ、パスワードの設定変更情報も通知可能です。他にもたくさんのサービスのイベント情報をAmazonSNSへ集約させることができ、リアルタイムにユーザへ通知させることができます。

[AWSLambdaとは]

AWSサービスのイベントに応答して、Lambda functionと呼ばれるコードを自動的に実行させるコンピューティングサービスです。

AWSサービスのイベントとの連携を設定し、指定したイベントを契機にAWSLambdaにアップロードしたコードを自動的に実行させる仕組みです。

本連携では、実行契機としてAmazonSNSを設定し、AmazonSNSへ集約したイベント情報はAWSLambdaへ連携されます。連携されたイベント情報を契機に、AWSLambdaはコードを自動的に実行し、Zabbix Senderプロトコルにてプッシュ型でイベント情報をリアルタイムにZabbixに渡します。よって、Zabbix側ではリアルタイムに近い時間でイベント情報を監視することが可能になります。

[Zabbixと連携することで]

Zabbixでイベント情報を一元管理することで、以下のようなことが実現できます。

・通常のSNS通知だと障害の発生・復旧のみの通知だけになってしまいますが、トリガーの複合条件を利用することで、より柔軟な通知の設定が可能になります。

例えば、複数のトリガーの条件式を設定しておき、すべてのトリガーで障害となったら初めてユーザに通知を行うなどができます。

・アクションのエスカレーション機能を利用して、ユーザ側の運用に合わせた繰り返し通知や、障害の継続時間に応じた通知フローを柔軟に設定することができます。

[例]

通知1回目：障害発生時に管理者Aに通知をする。

通知2回目：障害が30分経過した場合には、再度同じ管理者Aへ繰り返し通知をする。

通知3回目：障害が1時間経過した場合は別の管理者Bまたはユーザに通知をする。

[連携イメージ]

• AmazonSNS × AWSLambda × Zabbix連携の設定

2-1 動作環境

本連携スクリプトとテンプレートは、以下の環境で動作確認済みです。

[AWSLambda]

＊リージョン：ap-northeast-1

＊Runtime：Python2.7

＊Memory(MB)：128

＊Timeout：3sec

＊VPC：NoVPC

[Zabbix]

＊Zabbix2.2系および3.0系

2-2 連携スクリプトの説明

本連携スクリプトはAWSLambda上に配置してAmazonSNSからイベント情報が上がってきたことを契機にAWSLambda上のスクリプトが自動で実行されます。スクリプト内でイベント情報を選定・加工し、Zabbix senderプロトコルでZabbixの各ホストへイベント情報を送信します。

2-3 Zabbix監視テンプレートのインポート

Zabbixの管理画面から監視設定のテンプレートを登録します。テンプレートを以下のリンク先からダウンロードしてください。

＊Zabbix3.0用テンプレート：https://github.com/tech-sketch/zabbix_aws_template/blob/AmazonSNS/templates/3.0/AmazonSNS_AWSLambda_Zabbix_template.xml

＊Zabbix2.2用テンプレート：https://github.com/tech-sketch/zabbix_aws_template/blob/AmazonSNS/templates/2.2/AmazonSNS_AWSLambda_Zabbix_templates.xml

Zabbixの管理画面から[設定] → [テンプレート] → [インポート]と辿り、ダウンロードしたテンプレートを「インポートするファイル」に設定し、インポートを実施します。

これにより以下のテンプレートが登録されます。

テンプレート名	用途
Template AWS SNS EVENT EC2	EC2関連のイベント情報監視
Template AWS SNS EVENT RDS	RDS関連のイベント情報監視
Template AWS SNS EVENT Other	EC2,RDS以外のイベント情報監視
Template AWS SNS EVENT AutoScaling	AutoScalingイベント情報監視

2-4 Zabbixの監視ホスト登録とテンプレート割り当て

各監視ホストを登録して、インポートしたテンプレートを割り当てます。例えば、RDSのDBインスタンスに紐づくイベント情報を監視したい場合、Zabbix管理画面の[設定] → [ホスト]から以下のような情報を登録します。

同様に、EC2、RDS、Other、Auto_Scaling、EC2インスタンス識別子(InstanceId)のホストを作成し、それぞれにテンプレートを割り当ててください。

設定項目	設定内容
ホスト名	例：event-test (DBInstanceIdentifier値)
表示名	任意 各サービスと識別しやすい表示名にすることをお勧めします。
グループ	任意 最低でも1つのグループに登録する必要があります。
インターフェース	任意 本連携ではインターフェース情報は利用しませんが、最低でも1つのインターフェースを登録する必要があります。
テンプレート	Template AWS SNS EVENT RDS

[ホスト名・表示名・グループ・インターフェースの設定]

[テンプレートの設定]

2-5 AWSLambdaの設定

AmazonSNSからのイベント情報が上がってきたことを契機にコードを自動実行させるためにLambda functionの設定とサンプルスクリプトを配置します。

AWSマネジメントコンソールから[Lambda] → [Functions] → [Create a Lambda function]と辿り、以下項目を設定してください。

[Select blueprint]

＊Select runtime：Python2.7を選択し[Skip]をクリックしてください。

[Configuer triggers]

AWSLambdaと連携をするためにAmazonSNSのトピックを指定しますが、現時点ではまだ作成していないため、Nextで次手順へ進みます。

※AmazonSNSのトピック作成、AWSLambdaへの割り当ては以降の手順[2-7 ファンクションにトピックの割り当て]で設定します。

[Configuer function]

設定項目	設定内容
Name	任意
Description	任意
Runtime	Python2.7 既に設定されていた場合は変更不要です。

[Lambda function code]

[Edit code inline]を選択しスクリプトを貼り付けます。スクリプトを以下のリンク先から全てコピーしてください。既にサンプルとして入力されているコードは全て削除し、コピーしたスクリプトを貼り付けてください。貼り付けた後にスクリプトを修正する場合は、画面上で修正できます。

※貼り付けた後、各環境に合わせたZabbixのIPアドレスとポート番号に変更してください。

https://github.com/tech-sketch/zabbix_aws_template/blob/master/lambda_code/AWS_AmazonSNS.py

[Lambda function handler and role]

設定項目	設定内容
Handler	lambda_function.lambda_handler 既に設定がされていた場合は変更不要です。
Role	Choose an existing role 既に設定がされていた場合は変更不要です。
Existing role	lambda_basic_excution

[Advanced settings]

設定項目	設定内容
Memory(MB)	任意
Timeout	任意
VPC	任意

最後まで設定を行ったら[Next]をクリックし、確認画面で設定内容に問題がないことを確認して、[Create function」を選択してください。

2-6 AmazonSNSの設定

各種イベント情報をAmazonSNSへ集約するために、トピックの作成とサブスクリプションの設定を行います。

[トピックの作成]

AWSマネジメントコンソールから[SNS] → [SNS dashboard] → [Create topic]と辿り、以下項目を設定してください。最後に[Create topic]を選択してください。

設定項目	設定内容
Topic name	任意
Display name	任意

[サブスクリプションの設定]

以降の手順で使用するため、[Topic ARN]の値をコピーしてください。[Create subscription]を選択し、以下項目を設定してください。各項目を設定後、[Create subscription]を選択してください。

設定項目	設定内容
Topic ARN	先程コピーしたTopic ARNの値をペーストしてください。
Protocol	AWS Lambda
Endpoint	手順[2-6 AWSLambdaの設定]で作成したファンクションを選択してください。
Version or alias	default

2-7 ファンクションにトピックの割り当て

前の手順[2-5 AWSLambdaの設定]で作成したファンクションに対してトピックを割り当てます。

AWSマネジメントコンソールから、[Lambda] → [Functions] → [AmazonSNS_Lambda_Zabbix] → [Triggersタブ] → [Add trigger]と選択してください。

Add triggerポップアップで四角い点線 → [SNS]を選択し、以下項目を設定してください。

設定が完了したら、[Submit]を選択してください。

設定項目	設定内容
SNS topic	手順[2-6 AmazonSNSの設定]で作成したトピックを選択してください。

2-8 イベントアラームの設定

AmazonSNSへ通知させるイベントを設定します。

例としてRDSイベントサブスクリプションの設定を紹介します。

AWSマネジメントコンソールから[RDS] → [Event Subscriptions] → [Create Event Subscription]と辿り、以下項目を設定してください。

すべての項目を設定しましたら、最後に[作成]をクリックしてください。

設定項目	設定内容
名前	任意
通知先の送信先	AmazonSNS_Lambda_Zabbix ※手順[2-7 AmazonSNSの設定]で作成したトピックを選択
ソースタイプ	インスタンス
有効	はい
イベントのカテゴリ	任意
インスタンス	任意

※参考: AutoScaling連携の設定

こちらの記事でご紹介したAutoScalingのスクリプトと連携し、自動作成されたホストのイベント情報の監視設定を自動化することも可能です。なお、ここからの説明はこちらの記事の連携手順が完了していることを前提とします。

AutoScaling連携を設定することで、何処のグループで何という名前のインスタンスが作成され、削除されたのかといったステータスをイベント情報としてZabbixで管理することができます。

[AutoScalingグループのタグの追加と通知先の設定]

AWSマネジメントコンソールで、[EC2]サービスの[AutoScalingグループ]を開き、連携するグループに「Template AWS SNS EVENT EC2」のテンプレートを割り当てるためのタグを設定します。通知タブの通知先は手順[2-6 AmazonSNSの設定]で作成したトピックを設定してください。AutoScaling全体に関連するイベント情報(起動・起動失敗、削除・削除失敗)を監視する場合は、”AutoScaling”というホストが、個別のAutoScalingグループで発生するイベント情報を監視する場合は、”AutoScalingグループ名と一致するホスト名のホスト”がZabbix側に登録されている必要があります。

それ以外に、AutoScalingグループ配下の各EC2インスタンスのCloudWatch Alarmから発行されるSNSについては、AutoScaling連携で自動的に登録された各ホストの監視アイテムに自動登録されます。

監視実行例

＊例1：AutoScalingが有効・無効時は以下のようにZabbixで管理することができます。

イベント情報の見方は、Zabbix管理画面 → [監視データ] → [最新データ] と辿り、対象のホストを選択してください。

＊例2：RDSサービスの再起動時のイベント情報も以下のようにZabbixで管理することができます。イベント情報はAutoScalingと同じく、Zabbixの[最新データ]で確認できます。

＊例3：CloudWatchから上がってくるEC2インスタンのイベント情報も以下のようにZabbixで管理することができます。イベント情報は上記2つと同じく、Zabbixの[最新データ]で確認できます。

まとめ

今回の記事では、AmazonSNSとAWSLambdaと連携をさせ、イベント情報をZabbixで監視する方法をご紹介しました。Zabbixのトリガー、アクション機能を利用することで、アラートメールの内容、送信間隔をユーザ側でカスタマイズすることが可能です。ユーザに合わせた、より柔軟な運用管理を実現できます。また、AmazonSNSから上がってくるイベント情報をLambdafuncion内でコードをカスタマイズしてZabbixへ送信することも可能ですので、是非お試しください。

参考情報

・[スクリプト・テンプレート公開リポジトリ]

https://github.com/tech-sketch/zabbix_aws_template

※ご紹介したスクリプト・テンプレートはすべてオープンソースとして公開しています。自由にご利用・ご活用ください。ご質問やサポートのご用命については以下[6.お問い合わせ先]よりご連絡をお願いします。

・[AWS運用管理フォーカスセミナー資料:AWSの便利な監視サービスと Zabbix監視の融合による効果]

http://awsservicedocs.s3.amazonaws.com/Seminor/20150422_aws_sysops_forcus_seminar/TIS_Presentation.pdf

6.お問い合わせ先

本記事に関するお問い合わせは以下までお願いします。

TIS株式会社 OSS推進室

メール: [email protected]

電話: 03-5337-4588

◆『TISエンタープライズOSSサポートサービス』

TISでは本記事での紹介内容等も含め様々なノウハウを駆使したOSSのサポートサービスを提供しています。企業にて安心してOSSをご利用いただけるようにするため、設計や構築のご支援(技術コンサルティングサービス)や運用・保守時のトラブル対応のご支援(プロダクトサポートサービス)を提供しています。

本記事にて紹介しているAWSとの連携用の監視テンプレート「AWS監視テンプレート」についても保守サポートおよび拡張開発サービスを提供しています。

http://www.tis.jp/r/oss/

http:/www.tis.jp/service_solution/awsxzabbix/

◆マネージドサービス『ＭＯＴＨＥＲ』
TISは、クラウドサービスの活用が本格化した時代にあわせ、AWSなどのクラウドはもちろん、企業が持つプライベートクラウドやオンプレミスが組み合わされたマルチプラットフォーム環境の統合管理、障害監視、性能分析、運用自動化などのマネージドサービス『ＭＯＴＨＥＲ』を提供しています。

http://www.tis.jp/service_solution/mother/

****

OpsJAWS メインページはこちら。

クラウド運用にご興味ある方は、こちらからOpsJAWSに登録ください。

[OpsJAWS: やってみようシリーズ] Splunk CloudでSplunk Enterprise Securityを使ってみた！

Partner SA 酒徳です。こんにちは。もうre:invent 2016まで1ヶ月を切りましたね！今年はどんな発表があるのか、今から楽しみですね。

本日のやってみようシリーズは、Splunk Cloud第6回目になります。本日は高度なセキュリティ脅威の検知をSplunkで実現することができる有償Appsの「Splunk Enterprise Security(ES)」についてSCSK内藤様にご紹介頂きます。

 

設定(構築)する内容

「Splunk Enterprise Security(ES)」では、CIM（Common Information Model）という情報共通化標準を使って、異なるソースのログを表示できるように定義されています。

そこで必要なのがデータモデルという機能です。データモデルは、マシンデータのアクセス方法と役割を表したもので、データの関係性を定義します。検知、調査に必要なデータのフィールドをデータモデルと紐付けることで、ダッシュボードやレポートをそのまま利用できるようになります。

今回は、無償で7日間使うことができるSANDBOX環境を使ってデータモデルの作成とピボットツールを使った検索、そしてESのダッシュボードを使った操作感などをご紹介したいと思います。

「Splunk Enterprise Security（ES）」のサンドボックス環境を準備（7日間、無料で利用できます）

• データモデルを作成
• ピボットツールを使った検索
• ESのダッシュボードをピックアップ

１）Splunk Enterprise Securityの環境準備

以下サイトから「FREE ONLINE SANDBOX」を選択し、「CONTINUE」をクリックします。

http://splunk.force.com/SplunkCloud?prdType=EnterpriseSecurity

Splunk.comのアカウントでログインしましょう。

 

「VIEW MY INSTANCE」をクリックするとSplunkWebが開きます。次の画面が表示されたらチェックを入れてOKをクリックします。

以下の画面が表示されれば、準備完了です！

ここで少し余談となりますが、URLの「en-US」の部分を「ja-JP」に置き換えると日本語の画面に切り替わります。デフォルトでは「en-US」となっておりますので、「ja-JP」に置き換えてみてください。以降の手順は全て日本語画面を使って説明させていただきます。

２）データモデルを作成

データモデルでは非構造データからオブジェクト指向可能な階層を作ることができるため、Splunkの技術も経験もないユーザーやデータアナリストなどが、レポートやダッシュボードを作れるようになります。

では、試しにサンプルログを使って新しいデータモデルを作成してみましょう。

「設定」タブでデータモデルをクリックします。

タイトルとIDに任意の名前を入力し、「作成」をクリックします。

３）親オブジェクトを作成

データモデルは一個以上のオブジェクトで構成され、オブジェクトに対してある条件を割り当てていきます。データモデルの中では、オブジェクトは親子関係で構成されます。

■参考情報：データモデルについて

http://docs.splunk.com/Documentation/Splunk/latest/Knowledge/Aboutdatamodels

「オブジェクトの追加」からルートイベントを選択します。

「オブジェクト名」「オブジェクトID」には任意の名前、「制約」には親となるサーチ文を入力します。ここでは以下のように入力します。「プレビュー」を表示して問題がなければ「保存」をクリックします。

-----------------------------------------------

オブジェクト名：root_object

オブジェクトID：root_object

制約：sourcetype=linux_secure

-----------------------------------------------

続いて、属性を修正します。属性は利用可能なフィールドをルートレベルで定義します。

「属性の追加」を展開して自動抽出を選択します。

追加するフィールドにチェックを入れます。フィールドが表示されない場合は「名前で追加」をクリックして手入力で追加します。名前変更の欄にはフィールドと同じ名前を入力してください。

追加フィールド：action,app,USER,src_ip,src_port

ここで、「編集」をクリックしてsrc_portのタイプを「文字列」から「数値」へ変更します。修正が終わりましたら、「保存」をクリックします。

親オブジェクトの作成と属性の変更完了後は以下のような画面となります。

今回は自動抽出を使って属性を追加しましたが、evalを使って新たなフィールドを作成することも可能です。

４）子オブジェクトを作成

linux認証失敗の子オブジェクトを作成します。

オブジェクトの編集画面から「オブジェクトの追加」を展開して「チャイルド」を選択します。

「オブジェクト名」「オブジェクトID」には任意の名前、「追加の制約」には以下サーチ文を入力します。「プレビュー」を表示して問題がなければ「保存」をクリックします。

-----------------------------------------------

オブジェクト名：Access Failure

オブジェクトID：Access_Failure

追加の制約：action=”failure”

-----------------------------------------------

続けて認証成功の子オブジェクトを作成します。

今度は以下の内容を入力し、同じように「プレビュー」を表示して問題がなければ「保存」をクリックします。

-----------------------------------------------

オブジェクト名：Access Success

オブジェクトID：Access_Success

追加の制約：action=”success”

-----------------------------------------------

さらに認証失敗のログに対して、「Top 10」という子オブジェクトも作成します。手順は先ほどと同様ですが、継承元に「Access Failure」を選択します。

５）データモデル権限を変更

データモデルの権限を変更するため、データモデル「test_linux」のアクション編集から「権限の編集」を選択します。

表示「すべてのApp」の読み取り権限（全員）にチェックを入れて保存をクリックします。

６）ピボットを使ってデータモデルを検索してみよう

ピボットは選択したデータモデルのさまざまな側面を表すテーブルやデータの視覚エフェクトを持つレポートを素早く設計することができるツールです。サーチ言語を使用せずにレポートを作成することができるツールです。

オブジェクトを利用して、データモデル「test_linux」のアクション欄で「ピボット」をクリックします。

「Access Failure」をクリックします。

検索途中でかまいませんので、行の分割で「src_ip」を選択し、「テーブルに追加」をクリックします。

続いて、フィルタの条件を追加します。以下の通り、入力して「テーブルに追加」をクリックします。

-----------------------------------------------

フィルタタイプ：制限

制限方法：aこの属性

制限：最も高い10カウント

-----------------------------------------------

IPごとにイベントの数が集計され、認証失敗のイベントが多いTop10のIPが一覧で表示されます。

そのままクリック1つで可視化もできます。「横棒」を選択すると先ほどの集計結果が横棒グラフで表示されます。他にも単一値、円グラフ、折れ線グラフなど統計結果にあわせてグラフを選択することができます。

７）データモデルとフィールドの紐付け設定を確認

では、ESのAppsと共にインストールされるデータモデルの一部を確認していきます。「設定」をクリックして「データモデル」の一覧画面を開きます。

一覧のタイトルから「Authentication」をクリックします。

この「Authentication」データモデルは通常の認証成功、失敗だけでなく、特権認証やインセキュアな認証が子オブジェクトとして定義されています。

以下画面をご覧いただくとわかりますが、Authenticationオブジェクトの制約には「tag=authentication」という記述があります。このタグというものは、一連のフィールド情報を管理、標準化するために使用されています。

実は第2回の記事でご紹介したエイリアスという機能も同じ目的で使用されています。エイリアスは異なるフィールド名を使用する2つの異なるソースにデータを参照させるために使用しました。それに対してタグは複数ソースのイベントをグループ化するために使用します。

８）Splunk Enterprise Security(ES)の画面を見てみましょう！

前置きが長くなりましたが、ES画面の一部をご紹介します。

ESのホーム画面から「Incident Review」をクリックします。

任意でStatus、Name、Owner、Search、Security Domain、Time、Tagを入力し、「実行」ボタンをクリックすると、自動的に5段階のUrgency（緊急度）で振り分けられた結果とイベントが表示されます。これにより緊急度が高い場合にアラート通知を行うといった設定も可能になります。緊急度がHIGH以上のイベントを通知対象とすることで余分なアラート通知を抑制することが可能です。

次に、ES Appsのホーム画面から「Security Posture」をクリックします。

次の画面では自動的に5段階に振り分けられた緊急度の情報を使って、ソース全体での統計結果を1つの画面にまとめて表示しています。ソース全体で何件のイベントが発生しているか、昨日と比較してどのくらいイベント数が増減しているかなど、直感的に見てわかるようなダッシュボードの画面です。

９）Splunk Enterprise Security(ES)のレポート

最後にESのレポートをいくつかご紹介します。

ESでは、様々な用途・シーンで使うことができるようにレポートも多数用意されています。例えばMalwareでは28個、IDSでは24個ものレポートが用意されています。

以下にレポート画面の一部を掲載いたします。

例）Malware感染が多いシグネチャのTop10

例）繰り返しMalware感染するシグネチャのTop10

例）攻撃回数が多いシグネチャ

例）IDS検知イベントのカウント数（重要度ごと）

まとめ

いかがでしたでしょうか？

今回は有償Appsの「Splunk Enterprise Security(ES)」をご紹介しました。

ESは複数のデータモデルで構成されていているため、ESの仕組みを少しでもわかってもらえるようにデータモデル作成の演習を行いました。

実際に構築する際は、タグ、エイリアスなどを使用してフィールドとの紐付けが必要です。紐付けを行うことですぐにダッシュボードやレポート画面が使えるようになります。

ESは不正な通信、怪しい通信を検知するための検知アルゴリズムを独自で持っているため、SIEMとして使うことができる便利なAppsです。ぜひ、ESではどんなことができるのかをSANDBOX環境を使って確認してみてください。

次回Part7では、Splunkの有償Apps「Splunk IT Service Intelligence」を使って、サーバ運用やシステム運用でSplunkを活用する方法をご紹介します。お楽しみに！

参考情報

Splunk Cloudの導入実績

世界中のお客様の、セキュリティ分析、ビジネス業務分析、ITオペレーション分析などのSplunk Cloud活用事例は以下サイトをご参照下さい。

http://www.splunk.com/en_us/customers.html#filter/filter1/CloudSolutions

 

ライセンス体系とコスト

Splunk Cloudは１日に取り込むデータ量に応じた課金体系となっています。

http://www.splunk.com/en_us/products/pricing.html#tabs/cloud

お問い合わせ先

• Splunk Cloudご利用に際してのお問い合わせは下記宛先までお願いいたします。

SCSK株式会社　Splunk製品担当（https://www.scsk.jp/product/common/splunk/）

[email protected]

03-5166-2826

• SCSKでは、Splunk導入に関する設計、構築、サポート等トータルサービスをご提供いたします。業種問わず様々なお客様への幅広い導入実績から、ニーズに合った最適なサービスをご提案させていただきます。

また、サポート体制も整っておりますので、導入後の運用もご安心下さい。

お気軽に上記お問い合わせ先までご連絡ください。

• またSplunk Cloudでの設定やサーチに関しての技術的なご質問は、以下コミュニティサイトもぜひご利用ください。日本語でのご質問も可能です。
  https://answers.splunk.com/
• その他技術情報
  Splunk Cloud製品ドキュメントページ（英語）
  http://docs.splunk.com/Documentation/SplunkCloud
  Splunk Searchチュートリアル（日本語）※パート２以降をご参照ください。
  http://docs.splunk.com/images/d/da/Splunk-6.3.0-ja_JP-SearchTutorial.pdf

****

OpsJAWS メインページはこちら。

クラウド運用にご興味ある方は、こちらからOpsJAWSに登録ください。

[OpsJAWS: やってみようシリーズ] Splunk CloudでAWS Config / VPC Flow Logsを可視化してみた！

Partner SA 酒徳です、本日のやってみようシリーズは、Splunk Cloud第5回目です。Splunk Cloudを使ったAWS Config, VPC Flow Logsの可視化についてSCSK内藤様にご紹介頂きます。AWSは様々なサービスがログを残すため、こういった一元管理ができると運用もともてシンプルでパワフルになりますね！

みなさん、こんにちは。SCSKの内藤です。Splunk Cloudの使い方Part5は、前回に引き続き、AWS用のSplunkApps(Splunk App for AWS)を用いた可視化画面のご紹介です。今回はさらにAWSのリソースやユーザー操作の監査を行う画面やAWSネットワーク上のフローデータを使った監視の画面などをご紹介していきます。  

設定(構築)する内容

• Config RulesのログをSplunkへ取込み、統計結果を可視化画面に表示する
• VPC Flow LogsのログをSplunkへ取込み、統計結果を可視化画面に表示する

AWSでの設定が正しくできれば、Splunk側での取込み手順は非常に簡単です。Part4の取込み手順とほとんど同じです。

AWS Config Integration

1. AWSでConfig Rulesを新規追加

Config Rulesを使って AWS Config によって記録された AWS リソース設定を自動的にチェックするルールを作成します。AWS ConfigのRulesからAdd ruleで新しいルールを追加します。新しいルールはAWS上にテンプレートがあるため、必要なRuleを選択します。今回は「restricted-common-ports」を追加します。

2. Config Rulesログの取得設定

Splunk Cloudへログイン後、ホーム画面でApps「Splunk Add-on for AWS」のアイコンをクリックします。

Inputs画面にて、「Create New Input」ボタンをクリックします。

プルダウンメニューから「Config Rules」を選択してください。

Nameには、任意の名前を入力してください。AWS AccountとAWS Regionはそれぞれプルダウンメニューから該当するものを選択します。

TemplatesタブのRule Namesで「restricted-common-ports」を選択します。

Settingsタブからデフォルトの設定値を確認し、必要に応じて変更して下さい。ここではデフォルト設定（既定値）のまま「Create」ボタンをクリックします。

正常に設定完了した場合、下図のように表示されます。

3. ログの取得結果を確認してみよう

ホーム画面に戻り、「サーチとレポート」のアイコンをクリックします。

以下サーチを実行します。

sourcetype=aws:config:rule

サーチ結果は返ってきましたでしょうか？もしサーチ結果が返ってこなくても大丈夫、安心してください。それはConfig Rulesのトリガーとなるようなアクションがまだ行われていないからです。AWSの特定のセキュリティグループに対して以下ポートを許可する設定の操作をしてみてください。Config Rulesのログが発生し、Splunkへのログ取込みも開始されるはずです。

Config Rule「restricted-common-ports」がTrapするポート：20,21,3389,3306,4333

 

4. Appsの可視化画面を確認

またホーム画面に戻り、「Splunk App for AWS」のアイコンをクリックします。

AuditタブからConfig Rulesを選択します。

統計結果のパネルをまとめたダッシュボード画面が表示されています。これによってConfigルール違反かどうかが一目瞭然ですね。

「restricted-common-ports」の他にもAWSにはいくつかのConfig Rulesが用意されています。ご興味がありましたらぜひ他のログ取込みも試してみてください。以下表にいくつかピックアップしておきます。

ルール名	説明
cloudtrail-enabled	CloudTrailの設定が入っているかをチェック
ec2-instances-in-vpc	EC2インスタンスがVPCに属しているかをチェック
encrypted-volumes	EBS volumesが暗号化されているかをチェック

VPC Flow Logs Integration

1. VPC Flow Logsの取り込み設定

次にVPC Flow Logsの取り込み設定を行います。VPC Flow LogsはEC2インスタンスのVPCやサブネット、各ネットワークインタフェース間を流れる通信のフローをキャプチャできるようにするAWSの機能です。

詳しい機能の説明はこちら↓

http://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/UserGuide/flow-logs.html

 

フローログ用のIAMロールを作成

新しいロールの作成で、IAMロールを作成します。少なくとも以下のアクセス権限が含まれている必要があります。

{   "Version": "2012-10-17",   "Statement": [     {       "Action": [         "logs:CreateLogGroup",         "logs:CreateLogStream",         "logs:PutLogEvents",         "logs:DescribeLogGroups",         "logs:DescribeLogStreams"       ],       "Effect": "Allow",       "Resource": "*"     }   ] }

 

AWSのIAMやフローログの作成手順はこちら↓

http://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/UserGuide/flow-logs.html#flow-logs-iam

2. CloudWatchのロググループを作成

CloudWatch コンソールを使用して、フローログが操作できます。

今回はCloudWatchに「CloudWatch/VPCFlow」という名前のロググループを作成しました。

3. VPCまたはサブネットのフローログを作成

VPC、サブネットまたは各ネットワークインタフェースに対してフローログを作成することができます。ここではサブネットのフローログを作成します。

先ほど作成したIAMロールと送信先ロググループを選択し、「フローログの作成」をクリックします。

4. フローログをSplunkへ取込む設定

再度、Splunk Cloudのホーム画面に戻り、「Splunk Add-on for AWS」をクリックします。

Inputs画面にて、「Create New Input」ボタンをクリックします。

プルダウンメニューから「CloudWatch Logs」を選択してください。

Nameには、他ログのInput設定と同じように任意の名前を入力してください。AWS AccountとAWS Regionはそれぞれプルダウンメニューから該当するものを選択します。

TemplatesタブのLog Groupにロググループ名「CloudWatch/VPCFlow」を入力します。

Settingsタブからデフォルトの設定値を確認し、必要に応じて変更して下さい。ここではデフォルト設定（既定値）のまま「Create」ボタンをクリックします。

5. フローログの統計結果を画面で確認

またSplunk Cloudのホーム画面に戻り、「Splunk App for AWS」をクリックします。

Securityタブの「VPC Flow Logs-Security Analysis」を選択します。

Rejected(拒否された)通信のトラフィック量サマリーやアクセス元IPアドレスからロケーションを特定してMAPに表示しています。

他にもRejectedトラフィックのポートのTop10やアクセス元IPアドレス毎のRejectedランキング、アクセス元IPアドレスと宛先IPアドレスの組み合わせでのRejectedランキングなどもあります。

VPC Flow Logsを使うことによって、不正にアクセスを試みる通信が発生しているかどうかはすぐに見分けがつくようになります。

① VPC Flow Logs-Security Analysis画面

② VPC Flow Logs-Security Analysis画面

まとめ

いかがでしたでしょうか？

今回もAWSのApps「Splunk App for AWS」を使って、ログ収集の設定とログの統計結果を確認していきました。

監査ログやセキュリティで使えるログに着目してご紹介しましたが、今回紹介したVPC Flow Logsは、設定が簡単に行えてトラフィックの監視ができる非常に便利な機能です。

もしルータやファイアウォールなどのネットワーク機器から個別にトラフィックを収集する場合は、各機器からログ転送の設定をしなければならず、手間もかかります。

しかし、VPC Flow Logsならば導入は非常に簡単で、さらに「Splunk App for AWS」のAppsをすべて無料で使うことができます。是非、たくさんの使い方を試してみてください！

次回Part6では、SIEMとして使われているSplunkの有償Apps「Splunk App for Enterprise Security」を使って、セキュリティ分析の方法などをご紹介していきます。お楽しみに！

http://www.splunk.com/ja_jp/solutions/solution-areas/security-and-fraud/splunk-app-for-enterprise-security.html

 

参考情報

Splunk Cloudの導入実績

世界中のお客様の、セキュリティ分析、ビジネス業務分析、ITオペレーション分析などのSplunk Cloud活用事例は以下サイトをご参照下さい。

http://www.splunk.com/en_us/customers.html#filter/filter1/CloudSolutions

ライセンス体系とコスト

Splunk Cloudは１日に取り込むデータ量に応じた課金体系となっています。

http://www.splunk.com/en_us/products/pricing.html#tabs/cloud

 

お問い合わせ先

Splunk Cloudご利用に際してのお問い合わせは下記宛先までお願いいたします。

SCSK株式会社　Splunk製品担当（https://www.scsk.jp/product/common/splunk/）

[email protected]

03-5166-2826

SCSKでは、Splunk導入に関する設計、構築、サポート等トータルサービスをご提供いたします。業種問わず様々なお客様への幅広い導入実績から、ニーズに合った最適なサービスをご提案させていただきます。

また、サポート体制も整っておりますので、導入後の運用もご安心下さい。

お気軽に上記お問い合わせ先までご連絡ください。

Splunk Cloudでの設定やサーチに関しての技術的なご質問は、以下コミュニティサイトもぜひご利用ください。日本語でのご質問も可能です。
https://answers.splunk.com/

その他技術情報
Splunk Cloud製品ドキュメントページ（英語）
http://docs.splunk.com/Documentation/SplunkCloud
Splunk Searchチュートリアル（日本語）※パート２以降をご参照ください。
http://docs.splunk.com/images/d/da/Splunk-6.3.0-ja_JP-SearchTutorial.pdf

****

OpsJAWS メインページはこちら。

クラウド運用にご興味ある方は、こちらからOpsJAWSに登録ください。