Application Security
ランタイム攻撃の調査
ランタイム攻撃が議論を変える理由 #
定期スキャンは何が問題になりうるかを教えてくれます。ランタイム攻撃検出は何が今起きているかを教えてくれます — 既知の脆弱性に対するエクスプロイトの試行を、即時の調査と緩和のためのフォレンジックコンテキストとともに提供します。
Splunk Secure Application は攻撃テレメトリを既にカタログ化された脆弱性と相関付け、SOC スタイルの 調査を Observability Cloud 内で完結させます。
7.1 Attacks ビューを開く #
- APM → Application Security から Attacks タブを選択します。
- または、優先度の高い CVE の 「vulnerability reached」 インジケーターからピボットすることもできます。
- 攻撃リストを確認します。各行について以下を確認してください
| フィールド | 目的 |
|---|---|
| Exploit indicators | アクティブまたは過去のエクスプロイトが発生したかどうか |
| Attack type | エクスプロイト試行の分類 |
| CVE breadth | 関係する脆弱性の数 |
「定期スキャンからランタイム対応の脅威検出へシフトします。」
7.2 攻撃の詳細を調査する #
- 1つの攻撃アクティビティを選択して詳細ビューを開きます。
- フォレンジックフィールドを確認します
- 攻撃されたホスト、環境、およびサービス
- イベントのシーケンスと実行されたアクション
- 影響を受けたビジネスコンテキスト
- クライアント IP と HTTP メソッド
- 具体的なイベントとトリガー
- エクスプロイト中に実行されたコード
7.3 コードレベルのフォレンジック #
- 攻撃詳細の下部にある Stack Trace 属性までスクロールします。
- スタックトレースを展開します。
- エクスプロイト中にアクセスされたコードのフレームと行参照を特定します。
「このエクスプロイト中にアクセスされたコードの正確な行を特定し、アラートから修正までのループを短縮します。」
学んだこと #
- Attacks タブがカタログ化された CVE に相関するエクスプロイトアクティビティをどのように表示するか。
- 攻撃の詳細が Observability 内で SOC 対応のフォレンジックコンテキストをどのように提供するか。
- スタックトレースがセキュリティアラートと開発者向けの修正をどのように橋渡しするか。