Splunkでログ分析を体験しよう！(よわよわセキュリティLT用）
332 Views
October 24, 26
スライド概要
元々は電話屋さん 現在はセキュリティ関連のお仕事をしています～
関連スライド
各ページのテキスト
Splunkでログ分析を体験しよう！ よわよわセキュリティ勉強会資料 （2026/10/25） @GenkgGorosuke
【自己紹介】 名前 ：原 光宏（はら みつひろ） SNS：X（@GenkgGorosuke） 現在のお仕事：とある組織のセキュリティ担当者 過去の職歴 ：音声通信網（デジタルPBX/VoIP/UC）設計/構築と関連するネットワーク設計構築/運営業務 ⇒ １０年ぐらい前からサイバーセキュリティ業務（SOC運用、ログ分析が主）を担当 保有資格 ：CEH Ver12（Certified Ethical Hacker）/電気通信主任技術者（伝送交換）/工事担任者（総合種） その他 ：Interop Tokyo ShowNet2033のSTM（Show Net Team Menber）として活動 【Interop Tokyo ShowNet2033のSTMとして活動】（＠幕張メッセ） https://archive.interop.jp/2023/shownet/noc/
【本日のお品書き】 １ Splunkって何？？ ２ Splunkによるセキュリティログ分析例 ３ Splunkを今後勉強するにあたって 4 参考資料 注意：私はSplunk社の人ではありません お仕事でSplunkをぼちぼち使っているただのSplunk好きな人です！
１ Splunkって何？？
１ Splunkって何？？ ログを中心としたマシンデータ（インフラ、アプリケーション、デバイス等）を収集/分析することが できるソフトウェア インデックス化、サーチ、 アラート、レポート・可視化等必要な機能を全て提供しています！！ ① 時系列データベース アスキーテキスト Ad hoc search Monitor and alert Report and analyze Custom dashboards Developer Platform ③ 高速+リアルタイム サーチ データの収集と インデックス化 ② カスタム アダプター不要 DB Connect Splunk storage Hadoop 他のBig Data (RDB)
１ Splunkって何？？ Splunkを使うとこんなことができる！！ これが データソース 各種ログ Customer ID こうなる Order ID Product ID Order Processing Order ID Customer ID Middleware Error Time Waiting On Hold Customer ID Care IVR Twitter ID Twitter Company’s Twitter ID Customer’s Tweet
１ Splunkって何？？ SPL（Search Processing Language）→ Splunkを操ることができる言語 SPLとはSplunk社独自のサーチ言語の略称です。 取り込んだ様々な形式のデータをSPLを使うことで串刺し検索が可能です！ 【ＳＰＬの形式】 index=△△ Sourcetype＝●● “ フィールド名” ＝ 条件（文字列） ｜ 各種コマンド&関数 ｜ 各種コマンド&関数 ご注意～ ＩＮＤＥＸ=＊でも記述可能です。（が検索時間がかかるため。。なるだけ絞って検索を） 単純に文字列の検索が可能ですが、フィールド名で指定するほうが確実です。 ｜（パイプ）をつなげることにより、前のコマンドの出力が次のコマンドの出力になるイメージです!!
１ Splunkって何？？ SplunkにおけるSourcetypeとindexについて イメージ図 Sourcetype: 取り込みデータの種類、形式 Access.combined_wcookie （Webサーバのアクセスログ） Cisco:asa （Firewallのログ） 一般ユーザ （Index Bのみにアクセス可能） 【Indexでできること】 データ容量の定義 データへのアクセス権による管理 index: データの入れ物（容器） Ａ Ｂ 管理者 Index AとBにアクセス可能
２ Splunkによる セキュリティログ分析体験
２ Splunkによるセキュリティログ分析体験 今回はSplunkBOTS環境を使用してセキュリティログ分析の一例を紹介します！！ Boss of the SOC(BOTS)とは SOCのセキュリティアナリストの方々を対象に、Splunkがご提供するワークショップです。 現場の方々のスキル習得・熟練度の確認のために、現実に近い環境で、セキュリティハンティング を体験できます！！
２ Splunkによるセキュリティログ分析体験 今回ご紹介するサイト ” bots.splunk.com “ について 先に紹介したBoss of the SOC(BOTS）のデータが入ったSplunkにアクセスが可能です！ 注意！！：” bots.splunk.com “ にログインするにはSplunkサイトに登録が必要です
２ Splunkによるセキュリティログ分析体験 今回取り込まれたログソースのマッピングイメージ とある会社のシステム 攻撃者（Attacker） NGFW （Fortigate） 【ドメイン： imreallynotbatman.com】 IPS （Suricata） スイッチ （ポートミラー） Webサーバー 192.168.250.0/24 The Internet Splunk Stream Webサイトに 攻撃を実施！！ Management-segment (192.168.0.0/24) Splunk 【取込ログ一覧】 ミドルウェアログ（IIS） OSイベントログ（Windows） Streamデータ（Wiredata) IPSシグニチャ検知（Suricata） NGFWログ(Fortigate） Splunkにアクセス →SPLを駆使して分析！ セキュリティ担当者
２ Splunkによるセキュリティログ分析体験 bots.splunk.comからSplunkへのアクセス
２ Splunkによるセキュリティログ分析体験 bots.splunk.comからSplunkへのアクセス 今回は ”Web Site Defacement“を使用します！
２ Splunkによるセキュリティログ分析体験 bots.splunk.comからSplunkへのアクセス 使用するSplunkサーバーのURL 及びクレデンシャルが記述されています！
２ Splunkによるセキュリティログ分析体験 bots.splunk.comからSplunkへのアクセス 先ほどあったSplunkサーバーのアドレス及びクレデンシャルを使用してアクセス 示されたクレデンシャル情報を 使用してアクセス！！
２ Splunkによるセキュリティログ分析体験 bots.splunk.comからSplunkへのアクセス App： Search&Report → サーチ
２ Splunkによるセキュリティログ分析体験 Splunkによるセキュリティログ分析 SPLで ”index = botsv1” によりサーチを実施します！ index = botsv1 でサーチ ログが出力される ことを確認しましょう！ Sourcetype 全時間で設定 （今回は必ず全時間で！）
２ Splunkによるセキュリティログ分析体験 Splunkによるセキュリティログ分析 ログ分析例 【Ｑ】 Webサーバ “imreallynotbatman.com”に対して脆弱性をスキャンしたIPアドレスは何でしょうか？？ その際、脆弱性スキャンで使用されたと思わるツールは何でしょうか？？ 【SPLによるログ分析例】 HTTPストリームデータを確認します。 index= botsv1 sourcetype=stream:http imreallynotbatman.com フィールドの中からsrc（送信元アドレス）に注目する。 →カウント数が多い ”40.80.148.42"に注目 →クリック 送信元ヘッタ（src_header)を確認してみましょう！ index= botsv1 sourcetype=stream:http imreallynotbatman.com src="40.80.148.42" ｜top limit=20 src_headers → 送信元IPアドレスにおける頻度の高い送信元ヘッタを確認します。 User-Agentsに注目すると ”Acunetix Web Vulnerability Scanner”が使用されたことが確認できます。 →名前をググってみましょう！
２ Splunkによるセキュリティログ分析体験 ログ分析例 Splunkによるセキュリティログ分析 〇HTTPストリームデータを確認します。 index= botsv1 sourcetype=stream:http imreallynotbatman.com フィールド”src” をクリック IP：40.80.148.42から のアクセスが多い。。→ あやしい。。
２ Splunkによるセキュリティログ分析体験 【参考：streamデータとは？？】 Splunkによるセキュリティログ分析 Splunk Stream はネットワーク装置上のネットワークトラフィック、またはサーバーに到達したネットワーク トラフィックを 取得するための、Splunk の機能追加アドオンです！！ 【Splunk Streamでできること】 情報システム内のTCP/IPネットワークトラヒックをプロトコルごとにテキストデータ化し、ログデータとして 保存します。保存したネットワークトラヒックログは以下のような活用方法があります。 ・サーバ間のネットワークトラヒックを分析 → サーバ間通信（アプリケーション通信）の可視化 ・ネットワーク装置間のトラヒックを分析 → 通信先や使用帯域の可視化 ・ DNS/HTTPトラヒックを分析 → ネットワークの偵察やデータの漏洩などの脅威の検出など
２ Splunkによるセキュリティログ分析体験 Splunkによるセキュリティログ分析 送信元ヘッタ情報を確認してみましょう！！ index= botsv1 sourcetype=stream:http imreallynotbatman.com src="40.80.148.42" ｜top limit=20 src_headers 脆弱性ツール？？ （ググってみましょう）
２ Splunkによるセキュリティログ分析体験 Splunkによるセキュリティログ分析 送信元ヘッタ情報を確認してみましょう！！ ”Acunetix Web Vulnerability Scanner” でググる！！
3 Splunkを勉強するにあたって
３ Splunkを勉強するにあたって (1) 自宅Splunk環境を作って勉強する 慣れている仮想基盤(VMWorkstation/Virtual-BOX/Hyper-V等なんでもよい）で実際作ってみる！ 【私の環境(例）】 Splunk(Ubuntu） enp0s８ インタフェース設定 （ホストオンリーアダプター） 192.168.56.0/24 ホストPCから SplunkUIにログイン/検索 Splunk COREを ダウンロード&インストール！ Virtual BOX（Ver7.0） Windows 11 例 環境使用例 ① 紹介したBOTSVデータを取り込みして使用（INDEX化されているので便利！） ② 実際にネットワーク/ホストのログを取り込む（取り込む設定が必要です）
３ Splunkを勉強するにあたって (1) 自宅Splunk環境を作って勉強する Splunk Botsv1のデータセット https://github.com/splunk/botsv1 index化された ログデータ → Splunkにインポート 今回のログを分析するために 必要なApp/Add-On
３ Splunkを勉強するにあたって その他 色々ありそうです～ (2) Splunk さんが定期的に実施しているワークショップに参加する (3) 動画で勉強する 例： Splunkエンジニア100人の作り方（SHIFTGroup技術ブログ） https://note.shiftinc.jp/n/n60f70be4bebb サイト内でSplunkの学習動画のリンクが紹介されています！ 【初心者向け解説】0からはじめるSplunk https://www.youtube.com/watch?v=941REdf9mzs (4) Splunkユーザ会に参加してみる（Gojas:Go Japan Splunk User Group） → 上級者向けかも・・・ https://gojas.doorkeeper.jp/
３ Splunkを勉強するにあたって GOJAS(Go Japan Splunk User Group） https://gojas.doorkeeper.jp/
４ 参考資料
４ 参考資料 Splunkでよく使用する15のコマンド（その１） コマンド 説明 chart/timedhart (時系列）グラフ作成のために結果を表形式で出力します。 dedup 指定した基準に一致する後続の結果を削除します。 eval 式を計算します。「よく使われるEVAL関数」を参照してください。 fields サーチ結果からフィールドを削除します。 head/tail 最初／最後のN件の結果を返します。 lookup 外部ソースからのフィールド値を追加します。 rename フィールドの名称を変更します。ワイルドカードを使用して、複数のフィールドを指定できます。 rex 正規表現名前付きのグループを指定し、フィールドを抽出します。 参考サイト https://www.splunk.com/ja_jp/resources/splunk-quick-reference-guide.html
４ 参考資料 Splunkでよく使用する15のコマンド（その２） コマンド 説明 search サーチ条件に一致する結果に絞り込みます。 sort サーチ結果を指定フィールドで並べ替えます。 stats 統計情報を提供します（必要に応じてフィールド別にグループ化します）。 「よく使われるSTATS関数」を参照してください。 table 結果セットに保存するフィールドを指定します。 データを表形式で保持します。 top/rare 最も頻度の高い／低いフィールド値を表示します。 ltransaction サーチ結果をトランザクションにグループ化します。 rename フィールドの名称を変更します。ワイルドカードを使用して、複数のフィールドを指定できます。 where eval式を用いてサーチ結果にフィルタをかけます。2つの異なるフィールドを比較するために使用し ます。 参考サイト https://www.splunk.com/ja_jp/resources/splunk-quick-reference-guide.html