Boss of the SOC v6参加レポート / 開発者向けブログ・イベント

　こんにちは、GMOインターネットグループの國分です。

2022年10月7日に開催された、通称Bots（Splunk Boss of the SOC）に参加してきました。
Botsがどんなイベントなのか、含め魅力が伝えられたらと思います。

はじめに

BotsはSplunk社が主催するイベントです。
SplunkはSIEM製品の一つです。SIEMとはSecurity Information and Event Managementの略で、簡単に説明すると様々なログを一元的に管理して、検索出来たり、アラートが設定出来たりするシステムとなります。

Splunk（スプランク）とは

サーバー管理者だったり、アプリ開発者だったりすると、ログを見る機会が多いと思います。
その際利用するコマンドはLinuxだったら、grepやcat、windowsだったらfindstrを “|”（パイプ）で繋いで諸々ログを確認しているのではないでしょうか。

ログでIPの統計が取りたい！そんな時SIEMがない場合は、

cat access.log | awk -F ' ' '{print $1}' | sort | uniq -c

こんなコマンドを打って、統計を取りますが、1つのサーバーの場合は苦ではないのですが、これがロードバランサー配下にWebサーバーが100台あるとなるとどうでしょうか。
出来なくはないが、100台のサーバーにログインして、grepだったりcatコマンドを打つことになります。
※ログサーバーを準備して一つにログをまとればいいじゃんは、除外！

Splunkがある場合は、

| datamodel Web Web search
| stats count by Web.src

こんなコマンドで、Splunkで取り込んでいるWebサーバー全部のIP統計が取れます。
この構文で、Apache,nginx,IIS等WebのAccessログなら全て検索してくれます。
さらに取り込んでいるのがWebログ以外のログもあれば、そのログに対して検索したい文字列で、調査出来ることができます。
grepやcatだけでログの調査をしている人にとっては夢のような機能ですよね。

Botsの概要

Splunkで様々なログの検索ができるのを説明しましたが、BotsはSplunkを利用して、回答を導き出すCTF形式で点数を争う競技イベントです。

参加はチーム戦となっており、GMOからはSplunkを普段から利用しているSOCメンバー3名と、サイバーセキュリティを専門とするグループ会社から1名の合計4名チームで参加しました。
今回の参加チームは全体で35チームで、チーム人員は最大4名のチームで構成され競い合うことになりました。

各問題はシナリオごとに分別され、シナリオは5つあり、2つのシナリオはSplunkのセキュリティ製品の使い方の問題。
3つのシナリオがインシデントに沿った問題となっていました。
今回自分ともう一人のメンバーが特定のSplunk有償機能の知見があるので、Splunk有償機能のシナリオ1を担当して、残りの2名のメンバーがインシデント関係のシナリオを解くという作戦で開始しました。