セキュリティ監視センター — 小さな企業のための攻撃の検知と対応（検証環境）
攻撃を見つけ、案件を起票し、調査するまでのセキュリティ監視の一連の流れを、無料のツールで架空の顧客向けに構築しました。
ニーズ
補聴器センターのチェーン（学校の課題の架空の顧客）が、コストを抑えながらセキュリティ監視を外部に任せたいと考えています。
アイデア
多くの検証環境はアラートで終わります。本当の価値はその先、つまり振り分け、調査、証拠の確保にあります。
つくったもの
- ファイアウォールの背後で、業務用 PC とネットワークを対象にした検知。
- 暗号化したトンネルを通じて、1か所に集めるログ。
- 深刻なアラートをすべて自動で調査案件に変える、自作のスクリプト。
- ディスクとメモリの調査ツール、そして毎日生成されるセキュリティレポート。
成果
- 6端から端までつないだ構成要素
- 7:00毎日自動で送信するセキュリティレポート
- 100%オープンソースのツール
- 検証本番での利用なし（正直に記載）
検証環境では、検知から調査まで一連の流れが動いています。検証で終わったため、お見せできる運用指標はありません。そのことははっきりお伝えしておきます。
画面で見る
学んだこと
コストと管理のしやすさからオープンソースを選びましたが、それには代償があります。連携は手作業でスクリプトを書き、検知ルールは一つずつ調整する必要があります。商用製品なら3クリックで済んだでしょうが、学べたことは3分の1だったはずです。
技術的な詳細 技術スタック、アーキテクチャ、設計判断（技術職の方向け）
技術スタック
- Wazuh
- Suricata
- pfSense
- Logstash
- Elasticsearch
- ElastAlert
- TheHive
- Cortex
- AlienVault OTX
- Autopsy
- Volatility
- Python
仕組み
- Sup de Vinci のサイバーセキュリティ修士課程（2023〜2024年）の個人プロジェクト。架空の顧客は AudioProthèse+ で、課題の要件は ISO/IEC 27001 と GDPR に沿っています。
- SIEM：PC に入れた Wazuh エージェント、VPN 経由の転送、Logstash → Elasticsearch のパイプライン、中央のダッシュボード。
- IDS/IPS：pfSense ファイアウォールの背後の Suricata、ET Open と Snort GPLv2 のルールセット、AlienVault OTX の IP レピュテーションフィード。
- SOAR：TheHive を、REST API を使う Python スクリプトで Wazuh と連携させ、重大度のしきい値を超えた Wazuh・Suricata のアラートをすべて案件にします。情報の補強には Cortex を使用。
- Autopsy（ディスク）と Volatility（メモリ）によるフォレンジック。毎日7:00にレポートを生成・送信。
まだ足りない点
- 検証環境のみ（本番での利用なし）
- 運用指標なし