検知ルールの設計
Pro会員限定上級約50分8レッスン
ログから攻撃を見つける検知ルールを、精度（誤検知）と網羅（見逃し）のバランスを考えながら設計します。狙い撃ち・振る舞い・除外・IoC 横断のルールを自分のログで検証し、監査ルールとファイアウォールに落として運用に乗せるところまで扱います。
対象者: grep や awk で、誤検知と見逃しの少ない検知ルールを自分で設計し、運用に乗せたい方
前提知識: Web攻撃ログ分析① ② ・監査ログと auditd 修了程度
この教材を終えると、できるようになること
- 攻撃に特有の強いパターンだけに一致する、高精度な検知ルールを書けるようになる。
- awk でフィールドに条件を付け、振る舞いの異常を捉える検知ルールを書けるようになる。
- 除外条件とステータス条件を正しいフィールドに書き、誤った一致を混ぜずに件数を出せるようになる。
- 確定した IoC（攻撃元 IP）で別のログを横断し、活動の量を数えられるようになる。
- 検知パターンをファイルに残し、grep -f でログに当てて件数で検証できるようになる。
- 検知したい振る舞いを auditd の監査ルールとして永続化し、読み込まれたことを確かめられるようになる。
…ほか 1 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1検知ルールを組み立てる
精度・網羅・ノイズ除去の観点でルールを組み立て、実際のログに当てて件数で検証し、監査とファイアウォールに落とします。
- 高精度な狙い撃ちルール誤検知の少ない、的を絞った検知を作る約6分（有料会員限定）
- 異常を捉える awk ルールステータスコードの異常から攻撃の兆候を拾う約6分（有料会員限定）
- ホワイトリストでノイズを減らす既知の正常通信を正確に除外して件数を出す約6分（有料会員限定）
- IoC で網羅的に追う確定した攻撃元で別のログを横断する約5分（有料会員限定）
- ルールを残して自分のログで検証するルールをファイルに保存し、grep -f で件数を確かめる約7分（有料会員限定）
- 検知ルールを監査ルールに落とす永続化の置き場所への書き込みを auditd で記録する約8分（有料会員限定）
- IoC をファイアウォールに落とす確定した攻撃元を INPUT の先頭で遮断して保存する約7分（有料会員限定）
- 確認クイズ: 検知ルールの設計精度・網羅・除外・IoC・運用約5分（有料会員限定）