アラートとドリフト検知

このセクション全体を貫く指針は、誰にも信頼されないアラート一覧は、アラートが存在しないより 悪いということです。そのため、ルールの数は少なく抑えられ、イベントは状態が遷移したとき にのみ発生します。1週間ディスクが91%に張り付いていても、それは1万件ではなく1件のイベントです。

3種類のイベント

種類	発生条件
threshold	リソースメトリクスが設定したしきい値を超えたとき。
drift	セキュリティ関連の設定が前回のポーリングから変化したとき。
reachability	VMが応答しなくなった、または再び応答するようになったとき。

各イベントには info、warning、critical のいずれかのレベルと、短いタイトル、詳細な 説明が付与されます。

リソースのしきい値

設定 で設定します。ディスク警告、ディスク重大、 RAM、CPUの4つのしきい値があります。

ディスクは超過すると即座にアラートを出します。RAMとCPUは、アラートを出す前に複数回のポーリング にわたって超過している必要があります。バックアップ中に1分だけCPUが跳ねても、誰かを起こす価値は ありません。

ディスク逼迫の予測

固定のしきい値は緊急度についてほとんど何も語りません。1年間動かなかった80%には誰の注意も 必要ありませんが、今週10ポイント跳ね上がった60%には今日中に誰かの対応が必要です。

アプリは各マウントについて直近7日間のデータに線形回帰を当てはめ、いつ満杯になるかを外挿します。 結果は「あと約N日」として表示されます。

この外挿は、次の場合には推測するのではなく回答を拒否します。

• サンプル数が6未満、またはデータの期間が6時間未満の場合。
• トレンドが横ばいまたは減少傾向(マウントが解放されつつある)の場合。
• 結果が365日より先になる場合 — 「いずれ満杯になる」は特に有用な情報ではありません。

予測は1週間分の履歴を読む必要があるため、VMごとに最大でも1時間に1回しか再計算されません。

このモデルは、増加率が一定であることを前提としています。ログローテーションには当てはまらず、 一晩でデータが倍増するようなデータベースにも当てはまりません。約束としてではなく、優先度の 目安として読んでください。

ドリフト検知

前回のポーリングと比較される4つの項目があります。これらは、攻撃者が実際に残す痕跡です。

項目	検出される変化
keys	authorized_keys — SSH鍵の追加または削除
users	/etc/passwd — 新規アカウント、シェルの変更
ports	リッスン中のポート — 外部に公開する新しいサービス
sudoers	/etc/sudoers および /etc/sudoers.d/*

ほとんどの変更は正当なものです。同僚が自分の鍵を追加した、新しいサービスがデプロイされた、 といったものです。ここでの価値は、それが起きたこととその時点を把握できることです。6か月後に 偶然発見するのではなく。

SSHログインの確認

ポーリング用アカウントが認証ログを読み取れる場合、アプリは次を要約します。

• 成功したログイン — ユーザー、IP、方式、タイムスタンプ。
• IP別の失敗回数 — 件数の多い順。
• ブロック中のIP — fail2ban が存在する場合はそこから読み取ります。
• 見慣れたネットワーク — 各ユーザーが通常ログインしているサブネット。

ここでもっとも役立つのは「見慣れたネットワーク」の部分です。見慣れないサブネットからの 成功したログインは、インターネットからの何千回もの失敗よりもはるかに目立ちます。失敗は インターネットに公開されたサーバーであれば当然発生するものです。

営業時間外のログインはフラグ付けされるだけで、それ単独でアラートにはなりません。夜間の 正当な作業も多くあるためです。

アラートの確認(Acknowledge)

アラートセンターにはイベントが新しい順に一覧表示されます。1件ずつ、またはまとめて acknowledged(確認済み)にできます。ステータスバーの件数は未確認のものだけを表示します。

イベントは確認しても決して削除されません。また、14日間のメトリクスデータ保持期間による クリーンアップの対象にもならず、長期的に保持されて 月次レポート にも 反映されます。

システム通知

criticalレベルのイベントはOS通知をプッシュするため、アプリのウィンドウが隠れていても気づく ことができます。有効/無効の切り替えは、OS自体の通知設定から行ってください。