無償のSplunk Security Essentialの使い方！


いつもの前置き
-----
・Splunkには色々なAppがある。
・とはいえコミュニティサポート（英語）のAppは始めるまでにちょっと敷居が高い。
・そこで私がトライした内容は後学のために共有したいと思いここに書き残します。
・ゆるい情報なので参考程度でご勘弁。

Splunk Security Essentialがとうとう日本語ローカライズされた？
-----
・利用App
Splunk Cloud Gateway


とりあえず実際に見てみた
----
#### 確かに日本語になっています。質はほぼGoogle翻訳したものと変わらない
![スクリーンショット 2019-04-23 7.55.06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/4c94af0d-3a08-df95-49e1-d6f7e2c9fcb1.png)

しかし今までだと、Google翻訳かけると、参考となる**SPLまで翻訳されてしまい意味がわからなくなっていた**ので、それがなくなっただけでもまずは良しとしたい。


#### ルールを検索するSecurity Contentsページに関してももちろん日本語になっている。
- ルールのフィルタ機能がずいぶん[MITER ATT&CKフレームワーク](https://attack.mitre.org/)を意識した作りに変わっていることがわかる
![スクリーンショット 2019-04-23 8.28.56.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/a7d72541-702b-543c-41a6-f2949d8d07ad.png)


#### 早速、下記パラメータをセットして検索
    1. Data Source: EDR
    2. ATT&CK Technique: Command-Line Interface
    3. Featured：　All
![スクリーンショット 2019-04-23 8.32.39.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/202016dd-1f91-6016-62ca-6fb1f9fedd1a.png)

- 昨今、EDR製品が注目されているが、splunkはMicrosoftの無償ツール sysmonとも相性がよく、マルウェアの振る舞いをプロセスから検知、監視することができるルールが複数用意されている。
- sysmonについては[こちら](https://speakerdeck.com/odorusatoshi/splunking-sysmon)ご参考ください。

#### 6つのルールがヒットした
- ルールの概要とMITERの参考リンクページが用意されている
![スクリーンショット 2019-04-23 8.34.12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/66b8746a-04fc-b8ae-fb5b-691e432efebb.png)


####　「異常に長いCLIコマンドの検索」ルールを見てみよう
- 良かった。ここも日本語になっている。
![スクリーンショット 2019-04-23 8.38.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/d22befd8-4f67-955c-0008-00cfe562d7ff.png)

- MITER ATT&CKでいうところのExecutionフェーズで使われる手口であることがわかる。Cyber Kill Chainフェーズにおいてもどこで有効かがわかる。

#### デモデータを元にしたサーチイメージとアウトプットイメージが表示されている
- サーチが記載されているのでブラックボックスでないところがsplunkの分かりやすいところ。
![スクリーンショット 2019-04-23 8.40.07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/24914b88-63d4-4b74-faaf-5b28dbbaf279.png)

#### 確かにプロセスの中でこんなに長いプロセスがあったら驚くな。
- 検知ロジックはサーチを見るとわかるが、いわゆる統計的な外れ値を元にして不審なプロセスを検知している
![スクリーンショット 2019-04-23 8.41.31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/7b6d4e5b-ddcb-26bd-0b48-72cce6d31a57.png)


#### 実際のデータで試したいなと思ったら
- ページ上段の右上にある「Live Data」をクリック
![スクリーンショット 2019-04-23 8.49.59.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/cfd4914a-74fe-3cb7-9887-3bbb6bac55d3.png)

#### 生データを検索
- サーチ内容からinputlookupがなくなり、実際のデータを見ているようだ
![スクリーンショット 2019-04-23 8.51.25.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/18888783-3098-72a0-17ca-81813cb95ce8.png)

- ちゃんと検知しました。powershellを使ったコマンドラインの長過ぎる不審なプロセスを検知できました。
![スクリーンショット 2019-04-23 8.51.31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/eb76d02c-5e23-e6a6-8211-e3400288c5d1.png)


####ポイント：ルールは環境にあわせてチューニング可能
- たとえば以下のように４σから10σ外れているものを検知に変更する

```
| where maxlen>10*stdevperhost+avgperhost
```

- スケジュールサーチとして登録
![スクリーンショット 2019-06-07 12.29.31.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/6db39202-5464-fda9-ffef-83440cc980a7.png)

- １件でも見つかったらアラート発砲（０のままでOK）
![スクリーンショット 2019-06-07 12.30.02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/25d8dde5-ba7b-a9e5-1dc1-01df6204b6eb.png)

- cronなど任意のスケジュールでサーチを実行するように設定
![スクリーンショット 2019-06-07 12.30.13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/eef512d8-2eb8-4761-39df-1d1d00c32754.png)

- メール通知なども忘れずに
![スクリーンショット 2019-06-07 12.31.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/47ccde84-7f7c-e19f-efb8-8c141432b364.png)

- メールが届くとこんな感じ
<img width="982" alt="スクリーンショット 2019-06-07 15.12.54.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/1d747ffa-7a60-ba23-dfb8-a0c118b74247.png">



まとめ
----
- Security Essentialを使って、せっかく収集したデータからプロアクティブに潜在的な脅威を発見するThreat Huntingを始められます
- そもそもルール適用する前にどんなログソースが必要なの？と疑問に思った方は下記ご参考ください。
[SplunkとThreat Hunting](https://speakerdeck.com/odorusatoshi/splunktothreat-hunting)
- **どうやらきれいにローカライズされたバージョンはまだ先になる模様。今回はgoogle翻訳レベルのbeta版みたいなものらしい、Version2.4であれば日本語で見れるが、すぐに修正版が出て、ローカライズ機能は一旦、消える模様です。。正式サポートを受けるのは常に最新版のAppを使う必要があるのでご留意ください。**