脅威対策としての脅威検知のイベントログの確認など作業や運用ってなかなか楽な作業とは言い難いですよね。こうした運用にSyslogに多くの判断材料や検知情報が一度に含まれていたら、ログのフィルター作業や優先順位付けといった作業負荷を軽減していくことができます。VMware 分散IDS/IPS のSyslogによるロギングのメリットをできるだけ多く解説したいと思います。

過去の関連記事はこちら

• 特徴を解説！NSX 分散IDS/IPS でできる 新しい脅威への対策
• デモ解説！VMware NSX 分散IDS/IPS : 高度標的型攻撃の検知(IDS)と防御(IPS)をやってみる
• 動画で解説！どうやって設定するの？VMware NSX 分散IDS/IPS
• 動画で解説！シグネチャ更新と仮想パッチの運用手順 – VMware NSX 分散IDS/IPS
• NSX-T Data Center NSX 分散ファイアウォールとは – パート１
• NSX-T Data Center NSX 分散ファイアウォールとは – パート２
• SSL3.0 を 簡単にシャットアウト！ NSX 分散ファイアウォール の L7 機能
• マイクロセグメンテーションの必要性、より頑丈なマイクロセグメンテーションの作り方

はじめに

1. ESXi Host の Syslog 設定

2. 分散IDS/IPS ルールでSyslogの有効化

3. Eve JSON フォーマット Syslogの有効化

さて、今回は Postman （https://www.postman.com/）を使った例を掲載します。

# NSX-T 3.1 の場合 GET : https://<NSXmgr>/api/v1/global-configs/IdsGlobalConfig
# NSX-T 3.2 の場合 GET : https://<NSXmgr>/policy/api/v1/infra/settings/firewall/security/intrusion-services

"global_idsevents_to_syslog_enabled": false,

"_revision": 17

PUT : https://<NSXmgr>v1/global-configs/IdsGlobalConfig

Body
{
"global_idsevents_to_syslog_enabled": true,
"resource_type": "IdsGlobalConfig",
"_revision": 17
}

"global_idsevents_to_syslog_enabled": true,

"global_idsevents_to_syslog_enabled": true,
"_revision": 18

4. Syslog の確認

1. NSX Manager GUIで IPSルールで設定した「ログラベル」を含む Syslog (FIREWALL_PKTLOG ログ)
2. NSX Manager API で有効化した  Syslog (IDPS_EVT ログ)

2021-06-21T08:04:47.184Z esx-01a.corp.local FIREWALL_PKTLOG: f545b6e1 INET match IDP_DETECT 12265 OUT 48 TCP 1.1.22.25/48643->1.2.11.13/445 S Any to DC - IDS Only - Tokyo DC

タイムスタンプ、検知モード（IDP_DETECT または IDP_PROTECT）、ルールID、送信元/宛先 IPアドレス & ポート番号、 そして「ログラベル」が含まれています。

IDPS_EVT ログ (ver3.2ではIDPS-EVT ログ)

2021-06-21T08:05:13Z esx-01a.corp.local IDPS_EVT: [16388192]: {"timestamp":"2021-06-21T08:04:47.476777+0000","flow_id":1243555303510563,"pcap_cnt":782,"event_type":"alert","src_ip":"1.1.22.25","src_port":48643,"dest_ip":"1.2.11.13","dest_port":445,"proto":"TCP","metadata":{"flowbits":["IPC_NULL","SMBAndX0xFF","SMB.Trans2.SubCommand.Unimplemented.Code0E","SMB.Trans2.SubCommand.Unimplemented"]},"nsx_metadata":{"flow_src_ip":"1.1.22.25","flow_dest_ip":"1.2.11.13","flow_dir":2,"rule_id":12265,"profile_id":"5452c1c1-c56b-4cac-ac8e-7bfd5c6bf554","user_id":0,"vm_uuid":"501c0df1-3ba3-fbc7-9f00-f65894698636"},"alert":{"action":"allowed","gid":1,"signature_id":4100769,"rev":2,"signature":"[PT Open] Trans2 Sub-Command 0x0E. Likely ETERNALBLUE (WannaCry - Petya) tool","category":"A Network Trojan was Detected","severity":1,"metadata":{"lock":["false"],"type":["snort","suricata"],"policy":["snort-ips","snort-ids","suricata-ips","suricata-ids"],"signature_severity":["Major"]}},"app_proto":"smb","flow":{"pkts_toserver":7,"pkts_toclient":3,"bytes_toserver":1216,"bytes_toclient":496,"start":"2021-06-21T08:04:47.184867+0000"}}