Splunkセキュリティコンテンツのサーチタイプ『Baseline』について!!

# 前回までの記事紹介

- Splunkでは、サイバー攻撃の検出・調査で使用する相関サーチ集を[「Splunk ES Content Update(ESCU)」](https://splunkbase.splunk.com/app/3449)として提供しています。このESCUは、Splunkセキュリティコンテンツに該当します。ESCUについては、[こちらの記事](https://qiita.com/hasec/items/44da44bcca40403c64b0)に参考となる情報を載せています。

- ESCUの相関サーチはそれぞれ検知・分析のためのサーチタイプが定義されており、[前回の記事](https://qiita.com/hasec/items/ede1b8df536e7c14a405)で、ESCUの各種サーチタイプに関してご紹介しました。


# はじめに
- 前回の記事の[「サーチタイプの説明と利用例」](https://qiita.com/hasec/items/ede1b8df536e7c14a405#%E3%82%B5%E3%83%BC%E3%83%81%E3%82%BF%E3%82%A4%E3%83%97%E3%81%AE%E8%AA%AC%E6%98%8E%E3%81%A8%E5%88%A9%E7%94%A8%E4%BE%8B)の箇所で、サーチタイプ「Baseline」を紹介しました。
- 他のサーチタイプや、機械学習（MLTK）を利用する一部のESCUのサーチでは、関連するBaselineサーチを事前に実行する必要があります。この記事では、「Baseline」のサーチについて解説します。

# Baselineサーチ実行が必要となる場合について

- Baselineサーチの実行が必要な場合、各サーチ説明の「How To Implement」(実装方法)に、実行が必要なBaselineサーチ名が記載されています。

- 例えば、以下のESCU相関サーチが、「Baseline of S3 Bucket deletion activity by ARN」の定期的な実行が必要となります。

相関サーチ名： Detect Spike in S3 Bucket deletion (サーチタイプ: Anomaly)
分析ストーリー名： Suspicious AWS S3 Activities

:::note info
実装方法の抜粋
このサーチは、「Baseline of S3 Bucket deletion activity by ARN」サポートサーチを一度実行し、以前に見たS3バケット削除アクティビティのベースラインを作成すると効果的です。
:::
以下は、Splunk Enterprise Securityの使用事例ライブラリで、分析ストーリー「Suspicious AWS S3 Activities」を表示し、「ESCU - Detect Spike in S3 Bucket deletion - Rule」を選択した画面です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/bf77405c-7a96-6636-1670-fb46beebb661.png)

:::note warn
注意
このサーチは、Splunk Threat Research Team によって EXPERIMENTAL とマークされています。これは、このサーチが手動でテストされたが、自動テストを実行するための関連する攻撃データがない状態で検証された位置付けのサーチであることを意味しています。
:::

# Baselineサーチ有効化の手順について

- Splunk Enterprise Securityの「コンテンツ管理」、もしくは設定の「サーチ、レポート、アラート」からBaselineサーチ名を検索して有効化します
- 例として、「Baseline of S3 Bucket deletion activity by ARN」の有効化手順を以下で説明します

#### 1. コンテンツ管理の検索バーで、「Baseline of S3 Bucket deletion activity by ARN」を入力
対象のBaselineサーチが表示されたら、サーチの名前をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/3fd31da8-9118-41eb-ff71-d26185eab378.png)

#### 2. サーチ、レポート、アラート画面に遷移後、オーナーのプルダウンメニューから「すべて」を選択する
少し時間が経った後に、Baselineサーチが表示される
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/6d919d73-f511-3c63-68d3-8e317fa608d2.png)


#### 3. アクションの編集をクリックして、「有効」を選択する
「有効」を選択後に、ステータスが「無効」から「有効」になったことを確認する

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/2782a738-11a0-3449-4269-5480c788bc2c.png)

:::note warn
注意
Baselineサーチのスケジュール実行前に、相関サーチで利用されるベースラインのデータを作成したい場合は、アクションの「実行」を手動で選択して実行します。ただし、Baselineサーチの定期的な実行が前提となる場合があるため、その場合はBaselineサーチの有効化も行ってください。
:::

# 機械学習ツールキット(MLTK)を利用する相関サーチの例

- 機械学習ツールキット(MLTK)を利用する相関サーチでは、Baselineサーチで作成したモデルを使用する場合があるため、Baselineサーチを事前および定期的に実行する必要があります。
- Baselineサーチの実行が必要な場合は、各サーチ説明の「How To Implement」(実装方法)に、実行が必要なBaselineサーチ名が記載されています。
- 例えば、以下のESCU相関サーチが、「Baseline of SMB Traffic - MLTK」の定期的な実行が必要となります。

相関サーチ名： SMB Traffic Spike - MLTK (サーチタイプ: Anomaly)
分析ストーリー名： Ransomware

:::note info
実装方法の抜粋
サポート検索「Baseline of SMB Traffic - MLTK」は、この検索で使用される履歴データに対して機械学習（ML）モデルを構築するため、この検出検索の前に実行する必要があります。
定期的にサポート検索を再実行して、環境で利用可能な最新のデータでモデルを再構築する必要があります。
:::


以下は、Splunk Enterprise Securityの使用事例ライブラリで、分析ストーリー「Ransomware」を表示し、「ESCU - SMB Traffic Spike - MLTK - Rule」を選択した画面です。
![スクリーンショット 2024-08-05 15.47.47.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3634112/85b55fce-0f3b-bd5b-e560-2316957f0932.png)

- 機械学習ツールキット(MLTK)を利用する相関サーチに関連するBaselineサーチ有効化の手順は、本記事の[Baselineサーチ有効化の手順について](https://qiita.com/hasec/items/684c5f35ad6ce62cd234#baseline%E3%82%B5%E3%83%BC%E3%83%81%E6%9C%89%E5%8A%B9%E5%8C%96%E3%81%AE%E6%89%8B%E9%A0%86%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6)の箇所で紹介した手順と同じです。


# さいごに

- Baselineサーチは、ESCUの各相関サーチを使いこなす上で参考になるかと思い、今回の記事を作成しました。
- 前回と今回の記事で、一通りのESCUの相関サーチタイプに関してご紹介していますので、参考にしていただけたら嬉しいです。

今日もHappy Splunking!!