OCI Logging Analyticsを使用したOracle Cloud Infrastructureセキュリティの基礎ダッシュボード (2023/08/30)

OCI Logging Analyticsを使用したOracle Cloud Infrastructureセキュリティの基礎ダッシュボード (2023/08/30)

https://www.ateam-oracle.com/post/security-fundamentals-dashboards-using-logging-analytics

投稿者：Royce Fu | Master Principal O&M Cloud Architect

Johannes Murmann | Master Principal Security Cloud Architect.

Amine Tarhini | Principal Security and Management Platform Specialist


はじめに


Oracle Cloud Infrastructure(OCI)とサービスは、ミッションクリティカルなワークロードを実行し、自信を持ってデータを保存できる、効果的で管理しやすいセキュリティを提供します。クラウド・セキュリティのオペレーショナル・エクセレンスを実現するには、お客様のOCIテナンシのセキュリティ・ポスチャを継続的に監視および改善し、重要なサイバー衛生プラクティスを採用することが重要です。専用のセキュリティ情報およびイベント管理(SIEM)システムを使用せずに、動的なクラウド・セキュリティ環境をナビゲートするお客様向けに、Security Fundamentals Dashboardsは、お客様が進化し続けるサイバー環境を常に警戒できるように、OCIクラウド・リソースに関する強力なセキュリティの可観測性とガバナンスを構築および維持するためのお客様をサポートします。Security Fundamentals Dashboardsは、OCI Logging Analyticsの高度な機能を活用し、ほぼリアルタイムの監視と分析を行うことで、セキュリティ・イベントに関連するOCIログを積極的に集計および分析します。アラートにより、セキュリティ運用チームは、セキュリティ・リスクをより迅速に検出し、システムのチューニングに基づいて重要な情報に焦点を当て、適切なアクションを実行してリスクを軽減できます。



ダッシュボード・アーティファクト


セキュリティ基礎ダッシュボードの最初のリリースには、次の3つのダッシュボードが含まれています。


  • アイデンティティ・セキュリティ・ダッシュボード
  • ネットワーク・セキュリティ・ダッシュボード
  • Security Operationsダッシュボード


コードはここで使用でき、参照用のサンプル・コードとして提供されます。サンプル・コードは、追加の拡張用にカスタマイズできます。



セキュリティ基礎ダッシュボード詳細


  • セキュリティの脅威を迅速に検出するための即時利用可能なダッシュボード
  • テナンシ内の重要なセキュリティ・イベントの監視に関心のあるお客様向けに設計されています。
  • ダッシュボードは、Oracleのセキュリティ分析とモニタリングのベストプラクティスに基づいています。
  • ダッシュボードは、OCIネイティブ監査およびVCNフロー・ログからデータを問い合せて、継続的なアイデンティティおよびネットワーク・セキュリティ・イベントを監視します
  • ロギング・モニタリングおよびアラートに関連する成熟度加速プログラム基盤(MAP-F)機能を満たし、主要なセキュリティ・メトリックを可視化します
  • 可観測性と管理Logging Analyticsがソリューションの主なサービスです
  • 消費は、基礎となるログのサイズと保持に基づきます。
  • アイデンティティ・ダッシュボードは、ローカル・ユーザー・アクティビティの監視にのみ適用されます。アイデンティティ・ドメインまたはIDCSを使用する場合は、新しいアイデンティティ・ドメイン・ダッシュボード用にチューニングしたままにしてください。


注意: OCI Maturity Acceleration Program-Foundation(MAP-F)は、組織が基盤のセキュリティ機能を構築、導入、維持し、OCIでのセキュアな運用をサポートできるように支援することを目指す、共同のカスタマー・エンゲージメントです。


ダッシュボードのスクリーンショット:








「セキュリティの基礎」ダッシュボード・ウィジェット:

Category

Widgets

Description

IAM

Local User Password reset

 Bar Chart showing count of successful Local Password resets aggregated over 1 day.

IAM

Local User Creation

 Bar Chart showing count of successful or unsuccessful  Local User creations aggregated over 1 day.

IAM

Local User Changes

 Bar Chart showing count of successful or unsuccessful  Local User changes aggregated over 1 day. This includes Deactivate User, Delete User, Update User, Update User Capabilities, Update User State, Update User Password via UI

IAM

Local Dormant Users

 Tile showing count of dormant users that haven't successfully logged in to the OCI console within the last 30 days

IAM

Local Group Changes

 Bar Chart showing count of successful or unsuccessful Local group changes aggregated over 1 day. This includes "Add user to group" and "Remove user from group"

IAM

IAM Policy Update

 Bar Chart showing count of successful or unsuccessful IAM policy changes across the tenancy aggregated over 1 day. This includes Create Policy, Update Policy, Delete Policy. 

IAM

IDP Group mapping update

 Bar Chart showing count of successful or unsuccessful IDP group mapping change across the tenancy aggregated over 1 day. This includes "Add user to idpgroup", "Remove user from idpgroup", "Create idpgroup mapping", "Delete idpgroup mapping, "Update idpgroup mapping"

IAM

IDP Changes

 Bar Chart showing count of successful or unsuccessful Identity Provider changes across the tenancy aggregated over 1 day. This includes Create, Update , Delete IDP.

IAM

Local Successful Logins

 Bar Chart showing count of successful Local Logins aggregated over 1 day.

IAM

Local Failed Logins

 Bar Chart showing count of unsuccessful Local Logins aggregated over 1 day. This includes failed login due to wrong password or disabled user.

IAM

API Key Creation

 Bar Chart showing count of successful or unsuccessful API key creations(additions to a user) aggregated over 1 day.

IAM

Top Identity Events Producers

 Pie Chart identifying the top producers of Identity related audit events. Internal users and services have been filtered out. Otherwise the result could be skewed heavily.

Network

Total Network Traffic

 Graph showing the total network traffic across all VCN Flow logs. Aggregated over 5 mins spans and shown in KB.

Network

Network Ingress Traffic from Public

 Graph showing the total Ingress network traffic across all VCN Flow logs originating from a Public IP. Aggregated over 5 mins spans and shown in KB.

Network

Security list changes

 Bar Chart showing any changes to Security Lists in the tenancy. This includes create, delete and updates to security lists and rules.

Network

NSG changes

 Bar Chart showing any changes to Network Security Groups in the tenancy. This includes create, delete and updates to Network Security Groups.

Network

Changes to Gateways

 Bar Chart showing any changes to Gateways in the tenancy. This includes create, update and delete of DRGs, NAT GW, IGW, SGW and Peering Gateways

Network

Threat IPs - Timeline

 Graph showing the count of Threat IPs over time across Flow logs and the OCI Audit log from both egress and ingress traffic. 

Operations

Data freshness

 Time stats showing the last collection time for Audit and Flowlogs. The number should be small typically < 3 mins.

Operations

Service Connector errors 

 Based on the Service Connector Hub metric namespace and showing errors related to reading from OCI Logging(Source), writing to Logging Analytics(Target) and Service Connector Errors.

 



4ステップでのセキュリティ基礎ダッシュボードの有効化



セキュリティの基礎ダッシュボードのオンボーディング


Logging Analyticsはテナンシで設定する必要があります



Logging Analyticsの構成



セキュリティの基礎ダッシュボードのログ取込み



Logging AnalyticsはOracle Threat Intelligenceと統合されており、ログの取り込み時に脅威フィードを自動的に受信します。この機能は、Logging AnalyticsとOracle Threat Intelligenceサービスの両方が有効になっているリージョンのすべてのログ・ソースで使用できます。「脅威IP」ウィジェットは、この機能を使用します。この機能はデフォルトでは有効になっていません。


有効にするには:


  1. OCIコンソールで、「監視および管理」→「Logging Analytics」→「管理」に移動します。
  2. 右上の検索ボックスで「ソース」をクリックし、「vcn」を検索します。「OCI VCNフロー統合スキーマ・ログ」および「OCI VCNフロー・ログ」の2つのソースを取得する必要があります
  3. 各ソースを編集します。「編集」画面で、「フィールド・エンリッチメント」タブをクリックします。「ジオロケーション」機能の「有効」チェックボックスが選択されていることを確認します。
  4. 3つのドットをクリックして「ジオ・ロケーション」関数を編集し、「脅威インテリジェンス・エンリッチメント」チェック・ボックスを選択します。
  5. そうでない場合は、チェック・ボックスを選択して「変更の保存」をクリックします。
  6. 「OCI Auditログ」ログ・ソースについて、前述の5つのステップを繰り返します。



セキュリティの基礎ダッシュボードのデプロイメント


セキュリティ・ダッシュボードに必要なファイルは、次のGitHubリポジトリに格納されます。


https://github.com/oracle-quickstart/oci-o11y-solutions/tree/main/knowlege-content/MAP/security-fundamentals-dashboards


ファイルをローカル・ワークステーションにダウンロードします。3つのセキュリティ・ダッシュボードに対応する拡張子が.jsonのファイルが3つあります


  1. アイデンティティ・セキュリティ: アイデンティティSecurity.json
  2. ネットワーク・セキュリティ: ネットワークSecurity.json
  3. Security Operations: Security Operations.json


JSONファイルをインポートするには、次のステップに従います。


  1. テナンシにログイン
  2. LAダッシュボード・コンソール→可観測性と管理→Logging Analytics→ダッシュボードにナビゲートします
  3. 「ダッシュボードのインポート」をクリックします。
  4. ダッシュボードを含むフォルダに移動し、最初のダッシュボードJSONファイルを選択します
  5. 「すべてのダッシュボードのコンパートメントの指定」を選択し、「コンパートメント」を選択します
  6. 「すべての保存済検索のコンパートメントの指定」を選択し、コンパートメントを選択します
  7. 「インポート」をクリックします。
  8. 2番目のJSONファイルに対してステップ3から7を繰り返します
  9. (オプション)上のステップに従って、Logging Analyticsとの脅威インテリジェンス・サービス統合を有効にします


データがダッシュボードに流れ始めるまでに時間がかかる場合があります。対応するウィジェット/問合せによって選択されるアクティビティがターゲット・システムに存在しないかぎり、データは表示されません。



セキュリティの基礎ダッシュボードの可視化


セキュリティ基礎ダッシュボードを使用して、OCIテナントのセキュリティの脅威および問題を検出できるようになりました。たとえば、OCIクラウド・リソースにアクセスするVCNフロー・ログで検出された脅威IPや、パブリックIPからのネットワーク・イングレス・トラフィックで検出されたスパイクでは、テナンシ全体のセキュリティ・リスクを軽減するために、セキュリティ・チームからさらに調査する必要があります。





まとめ


Security Fundamentals Dashboardsは、OCIのお客様向けのLogging Analyticsを通じて、VNC FlowログとAuditログを使用してセキュリティ・イベントを監視するための優れた出発点を提供します。これらのOCI機能を活用することで、組織はOCIセキュリティ体制に関する貴重なインサイトを獲得し、クラウド・リソースを保護および管理するための情報に基づいた意思決定を行うことができます。


今すぐOracle Cloud Infrastructure Free Trialアカウントに登録して、Oracle Cloud Infrastructureの新しい機能を試してください。


さらなる情報


ログにIPアドレスの脅威を捕捉して分析および軽減



コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21)

イメージ
Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21) https://medium.com/oracledevs/how-to-control-or-pass-validation-for-duplicate-rows-in-interactive-grid-of-oracle-apex-as-compare-18f453f750bf 投稿者： Jignesh oracle Formsでは、データブロックの重複行を制御するのは非常に簡単ですが、IGの検証を制御するにはどうすればよいでしょうか。 必要な出力 ステップ1：インタラクティブグリッドのある白紙ページを作成します（私は1つの領域「IG」を作成し、インタラクティブグリッドとしてタイプを選択しました） ステップ 2: リージョンに Static ID を定義する (私の場合、リージョンは IG で、Static ID も IG です) ステップ3：複製を制御したいカラムのStatic IDを定義します ステップ4：関数とグローバル変数に移動します コード： var validity, message, ui = this.data; (function($) { function update(model) { var projKey = model.getFieldKey(“PROJECT_ID”), recObj = [], recArray = []; model.forEach(function(record, index, id) { var projid = parseInt(record[projKey], 10), // record[salKey] should be a little faster than using model.getValue in a loop meta = model.getRecordMetadata(id); if (!isNaN(projid) && !meta.deleted && !meta.agg) { recObj = {ID: id, project_id: projid}; recArray.push(recObj)...
続きを読む

Oracle APEX 24.1の一般提供の発表 (2024/06/17)

イメージ
Oracle APEX 24.1の一般提供の発表 (2024/06/17) https://blogs.oracle.com/apex/post/announcing-oracle-apex-241 投稿者： Ashish Mohindroo | Vice President, Product Management APEX Low Code Application Platform Oracle APEX 24.1は、 ダウンロード が一般的に可能になり、世界中のOCI APEX Application DevelopmentおよびAutonomous Database Cloud Serviceリージョンにロールアウトされています。この最新リリースで、GenAIを使用して最初のローコード・アプリケーションを構築する方法を学習します。リリースのお知らせのリプレイはこちらからご覧いただけます。 このリリースでは、優れたエンタープライズ・グレードのアプリケーションを簡単に構築できるイノベーションの3つの主要な柱(AI支援アプリケーション開発、Oracleの次世代データ・プラットフォームのパワー活用、高度なWebおよびモバイル・アプリケーションを構築するための強力なエンタープライズ・グレードのコンポーネント)が提供されています。 AI支援アプリ開発 このリリースでは、AIをローコード開発に直接取り込み、すべての開発者が高度なクラウドおよびモバイル・アプリケーションを簡単に構築できるようにしています。開発者は、AIをアシスタントとして使用して、時間と労力を削減してアプリを構築できるようになりました。APEX AIアシスタントを使用すると、開発者は複数のウィンドウを使用して表名と列名を検索する必要がなくなります。 APEX 24.1 では、クラウドおよびモバイル・アプリの自然言語ベースの開発を可能にするネイティブAI搭載APEX AIアシスタントを導入しました。APEX AIアシスタントを使用すると、すべての開発者は自然言語を使用してSQLを生成できるため、アプリケーションをより簡単に構築したり、ワンクリックで構文修正を実行したり、表名を覚える必要がなくなります。開発者は、自然言語プロンプトを使用して目的の機能とコンポーネントを指定し、直感的な会話型インタフェースを使用し...
続きを読む