アラートのトリアージとは
トリアージとは、届いたアラートを急ぐ順に並べ、対応する順番を決めることです。全部に同時には対応できないので、最初に見るものを選ぶ力が要ります。
朝に300件のアラートが届いても、本物は数件かもしれません。順番を間違えると、決済サーバーへの侵入が、練習用の機械の誤報の下に埋もれます。
このレッスンのゴール
メモ
アラートの深刻度と対象の大切さから、対応する順番を決めることができる。
キーワード
| ことば | いみ |
|---|---|
| アラート | 監視の仕組みが出す「調べてください」という知らせ |
| 深刻度 | その出来事がどれだけ悪いかを表す段階 |
| 誤報 | 攻撃ではないのに出たアラート |
| 見逃し | 攻撃があったのに出なかったアラート |
| トリアージ | 急ぐ順に並べて、対応の順番を決めること |
| アラート疲れ | 知らせが多すぎて、見なくなってしまうこと |
学生が入力するセルは、このプレビューでは空白です。
深刻度で急ぎ具合が分かる
深刻度は、その出来事がどれだけ悪いかを表す段階です。ここでは1から5までの5段階で考えます。
数字が大きいほど急ぎます。ただし、深刻度は出来事の悪さだけを表します。どの機械で起きたかは、まだ入っていません。
例: 深刻度の5段階
| 深刻度 | 意味 | 例 |
|---|---|---|
| 5 緊急 | 今まさに被害が出ている | 決済サーバーに知らない人が入った |
| 4 高 | 被害の一歩手前 | 管理者への失敗が連続している |
| 3 中 | 調べたほうがよい | 新しいアカウントが作られた |
| 2 低 | 記録しておく | パスワードの失敗が1回 |
| 1 情報 | 参考 | 定期ジョブが正常に始まった |
学生が入力するセルは、このプレビューでは空白です。
大切さをかけて優先度を出す
同じ深刻度でも、起きた機械で急ぎ具合は変わります。そこで、機械の大切さを1から3で決めます。決済サーバーは3、社内の機械は2、練習用は1です。
優先度は、深刻度に大切さをかけた数です。大きいほど先に見ます。
例: 優先度を計算する
| アラート | 深刻度 | 大切さ | 優先度 |
|---|---|---|---|
| A 管理者への失敗が連続(決済サーバー) | 4 | 3 | 12 |
| B 管理者への失敗が連続(練習用) | 4 | 1 | 4 |
| C 新しいアカウント(社内の機械) | 3 | 2 | 6 |
| D パスワードの失敗が1回(練習用) | 2 | 1 | 2 |
学生が入力するセルは、このプレビューでは空白です。
誤報と見逃しは両方こわい
誤報は、攻撃ではないのにアラートが出ることです。見逃しは、攻撃があったのにアラートが出ないことです。
誤報は、時間を無駄にします。見逃しは、被害を大きくします。どちらかをゼロにしようとすると、もう一方が増えます。
例: 4つの場合
| 場合 | アラートが出た | アラートが出なかった |
|---|---|---|
| 攻撃があった | 正しい検知 | 見逃し |
| 攻撃がなかった | 誤報 | 正しく静か |
学生が入力するセルは、このプレビューでは空白です。
失敗の行を数える
grep -c "Failed password" case/var/log/auth.logここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
成功の行を数える
grep -c "Accepted" case/var/log/auth.logここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
1行ごとのアラートは多すぎる
もし失敗の行ごとにアラートを出したら、1日で何百件にもなります。成功のログインは、数件しかありません。
人は、多すぎる知らせに慣れて、見なくなります。これがアラート疲れです。「10分に10回」のようにまとめると、数は減ります。
よくある間違い
注意
「誤報に見えるアラートは、見ないで閉じてよい」と考える人が多くいます。誤報かどうかは、ログで確かめてから決めます。確かめずに閉じた本物は、あとで被害になって戻ってきます。