Splunk Enterprise Securityを使ったSIEM検知ルール(相関サーチ)の探し方!!

# はじめに
- Splunkではサイバー攻撃の検出・調査で使用する相関サーチ集を[「Splunk ES Content Update(ESCU)」](https://splunkbase.splunk.com/app/3449)として提供しています。ESCUについては、[こちらの記事](https://qiita.com/hasec/items/44da44bcca40403c64b0)に参考となる情報を載せています。
- ESCUのライブラリを活用するためには、「Splunk Security Essentials(SSE)」や「Splunk Enterprise Security」のAppが必要です。SSEは前回までの記事でご紹介しました。
- 今回は[「Splunk Enterprise Security」](https://www.splunk.com/en_us/products/enterprise-security.html?locale=en_us)を活用した検知ルール(相関サーチ)の探し方についてご紹介します。

# 「Splunk Enterprise Security」で相関サーチを探す
Splunk Enterprise Securityは、セキュリティに特化した各種機能を提供するPremium Appの位置付けです。Splunk Enterprise Securityを利用するには、追加のライセンス費用が必要です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/cfdc89fa-343b-e156-7d95-b01b4d1e2ba8.png)

- Splunk Enterprise Securityのワークショップは、Splunk Japan主催で不定期に開催されています。
- 相関サーチは、以下のSplunk Enterprise Securityの「使用事例ライブラリ」画面を使って探します。この「使用事例ライブラリ」 は、「Splunk ES Content Update(ESCU)」の分析ストーリーと相関サーチを探すための機能です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/962b9e7c-5c95-b6c9-ed8b-5be38cd3b2fe.png)

### 「使用事例ライブラリ」画面の表示の仕方

-  「Enterprise Security」のAppを選択して、以下のホーム画面を開く
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/9761bc69-d505-65af-7fe1-6847b057b5b4.png)

- メニューの「設定」、「コンテンツ」をクリックして、「使用事例ライブラリ」を選択
![test1.gif](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/3bde8c57-e375-ab0e-495a-0d0edd80a73f.gif)

# 「使用事例ライブラリ」画面の構成
以下、使用事例ライブラリ画面のそれぞれの構成について説明します。使用事例ライブラリ画面のトップ画面では、ESCUの分析ストーリー単位で表示されます。
サイバー攻撃の手口をもとに分析ストーリー(Analytic Story)が定義されており、分析ストーリーごとに複数の相関サーチ(検知サーチ)が含まれます。

#### ①使用事例タブの説明とフィルタ
- 画面左端の使用事例には「Abuse」や「敵対者戦略」などのユースケースカテゴリが定義されており、選択すると関連する分析ストーリーが右ペインに表示されます。
- 右ペインには分析ストーリーが表示され、各種フィルタや、文字列を入力して検索することで絞り込みができます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/901e5a86-69c0-7cce-c13e-b2e0458a6290.png)

#### ②分析ストーリーの説明と各関連情報
- 分析ストーリーごとに複数の相関サーチが含まれます。相関サーチのデータモデルやルックアップ、各種フレームワークマッピング情報を確認できます。
- 分析ストーリーに含まれる複数の相関サーチが「Correlation Searches」に該当します。Correlation Searchesの実態はSPL=Saved Searchです。
- 画面の「使用中」の箇所で、分析ストーリーに関係するAnalytic Ruleが一つでも有効化されているとFlag🏁が表示されます。
- 画面の「ソースタイプ」の箇所で、[!]が表示されている場合、そのデータがない事を示しています（取り込み要検討）
- 画面の「データモデル」の箇所で、✓が表示されている場合、検知に必要なデータが存在していることを示しています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/73fa9ca6-8236-07e9-241c-23ae6c6a9352.png)

#### ③分析ストーリーの詳細
分析ストーリー名のリンクをクリックすることで、詳細画面に遷移します。今回は「Suspicious AWS S3 Activities」を例に説明します。

- 「Suspicious AWS S3 Activities」に紐づけられている相関サーチ（Detection：検知サーチ・Investigation：調査サーチ）が表示されます
- Detection：検知サーチは、検知ルールとして利用します。Investigation：調査サーチは、Detectionの検知後の調査時に使用するサーチです。
- 選択した相関サーチの詳細が表示されます
- [相関サーチを編集する]ボタンをクリックすることで、選択している相関サーチの（コンテンツ管理機能の）編集画面に遷移します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/81a31546-7a6b-bdcc-3217-10213c96ebe5.png)

#### ④分析ストーリー中の相関サーチ
- [サーチ]を展開するとそのルールで使われているサーチが表示されます。🔍マークをクリックすることで検索が実行され、画面下部に結果が表示されます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/6e046dbe-ccf3-cb53-86f0-48c2bb851be1.png)

# さいごに：使用事例ライブラリのフィルタ使用例

以下のようなフィルタでの指定の仕方で、分析ストーリー・相関サーチを検索できます

#### 1. フレームワーク、ログソースのデータモデルの指定
- 利用フィルタ：フレームワークマッピング、データモデル
特定のMITRE ATT&CKのTechnique IDや、取得済み・取得予定のログソースのデータモデルをフィルタで指定する
　例） T1047, T1055.001, Authentication, Network_Traffic, Endpoint

#### 2. 使用事例（ユースケース）の指定
- 左端の使用事例タブをクリック
分析ストーリーは使用事例で分類されている。目的に沿った使用事例を選択する
　例）敵対者戦略, Cloud Security, マルウェア


#### 3. 環境・アセット・攻撃の手口をフィルタに入力して指定
- 利用フィルタ：フレームワークマッピング
パブリッククラウド、アセットの名称や、さまざまな攻撃の手口の名称をフィルタで指定する
　例）AWS, Azure, GCP, Active Directory, Juniper, Ransomware, CVE-2022-1388


今日もHappy Splunking!!