2025年11月28日

本記事では、SIEM製品の一つであるSplunkの教育コンテンツを作成した際の学びについて紹介します。

目次

はじめに

SIEM製品のトップランナーであるSplunk[1]は、NECセキュリティブログでもたびたび取り上げられる注目の製品です。Splunkは、SPLと呼ばれるクエリを投入することで膨大なログの中から期待する分析や可視化を行うことができます。
このSPLは、単純なSearchコマンドを使った検索以外にも、多数のコマンドが用意されており、それらのコマンドや可視化機能を活用することで、NEC社内で運用しているサイバーセキュリティダッシュボード[2][3]のように、リアルタイムでサイバー攻撃への対処状況を可視化できます。

反面このSPL習得が難しく、一朝一夕で使いこなすことはできません。そのため、NECでは、Splunkの教育依頼を受けることがあります。
本記事では、Splunk教育コンテンツの作成・提供を通じて直面した問題と、その解決に向けた取り組み、そして得られた知見についてご紹介します。

教育概要、問題点と対策

教育の概要

今回紹介する気づきを得た教育の概要は以下の通りです。

公開ログ利用の問題点と対策

ベーシックトレーニングの準備を行い、教育を提供中、確認テストを実施している受講生を見て驚きました。
確認テスト実施時に受講生が生成AIを活用してSPLを生成し、問題を解いている様子が見受けられました。
公開ログを利用していたため、そのログに関する問題や解法がインターネット上に多くあり、我々がゼロから作った問題も同じログをベースにしていたせいか、ほぼ生成AIに正答されてしまっていました。
AIネイティブ世代にとっては自然な行動かもしれませんが、自動解答に頼るだけでは、本来身につけて欲しいSPLやインシデント調査能力が養われません。
AI活用を禁止するルールも検討しましたが、あえて設けず、生成AIを使っても回答が得られない経験が受講生自身の成長に繋がると考えました。
そのため、後続のアドバンストレーニングでは生成AI対策として、ログの生成から取り組むことにしました。

ログ生成から問題作成の流れ

ログ生成するにあたり、疑似的なオフィス環境を用意し、そこに疑似サイバー攻撃を実施、ログを採取し、Splunkに取り込む、取り込んだログを分析し問題を作成する方針としました。

環境構築フェーズ

疑似的なオフィス環境は、検証用クラウド上に図1の構成で作りました。詳細は割愛しますが、主要な構成要素は下記の通りです。

疑似サイバー攻撃検証フェーズ

インシデント調査能力を養うためのログ生成なので、計画的に疑似サイバー攻撃を実施しました。
疑似環境への攻撃者は、スクリプトキディ担当、中位の攻撃者相当、上位の攻撃者相当の想定です。ペンテスターを目指して勉強中のメンバー、ペンテスト経験者、有資格者の3名に実施頂きました。
問題作成で困らないように、以下を記録してもらいました。

この時、疑似サイバー攻撃に関連するログのみだと、すぐに受講者が被疑箇所の特定が出来てしまうため、正常アクセスのログ、ダミー攻撃のログを同時並行で生成されるよう工夫をしました。

ログ取得&Splunk取り込みフェーズ

疑似サイバー攻撃完了後、ログ取得フェーズに入ります。ログの取得は手作業で行いました。次やるときは自動化したいところです
今回の疑似的なオフィス環境では、セキュリティをあまり意識出来ていない組織が狙われた想定で、堅牢化を行わず、デフォルト設定のままとしておりました。
そのため、想定していたログが出力されていないケースがあり堅牢化の重要性を実感しました。

続いて取得したログをSplunkへ取り込むフェーズに入り、受講生が環境構築しやすいように以下の工夫をしました。

ログ分析&問題作成フェーズ

ここからが本丸、与えられたログをベースにインシデント調査を行い、問題を作成していきます。
今回は、攻撃者と分析者が会話をしながらログを分析しました。
ここで、ログ出力設定がデフォルトであったため、出力出来ていない痕跡がありました。目的実行（機密情報の窃取や公式サイトの改ざん等）から初期侵入までをログをベースにたどろうとしましたが、一部の疑似サイバー攻撃に関しては、一部痕跡が抜け落ちる形となってしまいました。
ここでもやはり、最低限の堅牢化は必要だと再認識させられました。
想定外な事象は多々ありましたが、最終的に10日分のトレーニングコンテンツを何とか作成しきり、教育提供をすることができました。

まとめ

元々の想定以上に手間をかけて作り上げた教育コンテンツを使い、アドバンストレーニングを実施したところ、結果として、生成AIを用いても正答が難しい問題を作成することが出来ました。
この取り組みを通じて、生成AIが解答できない場合に、受講生が自ら分析方法を考える力を養うことができたと感じています。

今回のブログでは、ログの生成から問題作成の流れを書いてみました。生成AIの高度化は目を見張るものがあり、AIを使いこなすことは重要です。
ただし、AIが導き出すSPLが本当に期待と一致しているか、実行し表示した結果の妥当性はどうか、そういった検証をするために自分自身がSPLを理解し実行することができる必要があります。そのSPLの習得には、必要な情報を自ら考え、繰り返し実行・検証する経験が不可欠だと考えております。

これからも“現場で使える力”を育てるために、ログ生成からこだわる教育を続けていきたいと思います。
最後までお付き合いいただきありがとうございました。

参考文献

執筆者の他の記事を読む

執筆者の他の記事を読む

執筆者の他の記事を読む