セキュリティ監視モニター ガイド
secwatch エージェントが送った SQL インジェクション検知の判定結果を、自組織の範囲で 1 画面で確認する方法を案内します。
このページについて
顧客サーバーに導入した secwatch 収集エージェントが、監査ログ・WAF・CloudFront ログから疑わしいイベントを選び giip Jev ゲートウェイへ送ると、ゲートウェイが判定して結果を保存します。このページはその判定結果をログイン中の自組織（csn）の範囲だけ新しい順に表示します。ローカルの monitor.py と同じデータを、追加導入なしで giip ウェブコンソールから見られます。
- アクセス権限: レベル 50（管理者）以上。
- 秘密値の露出なし: 照会はログイントークンのみで行い、収集エージェントの認証キーは画面に出ません。
使い方
- 照会期間: 直近 1 時間 / 6 時間 / 24 時間 / 7 日。画面はその期間の結果だけを新しい順に表示します（蓄積せず入れ替えるローリング方式）。
- ルーティングフィルター: 全体 / 🔴 警報(alert) / 🟠 レビュー(review) / ⚪ ログ(log)。
- 更新: 最新の判定を再取得します。
表の見方
| 列 | 意味 |
|---|---|
| 時刻 | 判定が保存された時刻 |
| 収集元(LSsn) | イベントを送った収集エージェントの識別子 |
| 種別 | イベント種別 — secevt_batch_audit(監査ログ)・secevt_waf(WAF)・secevt_cf(CloudFront)・secevt_signal(集約シグナル) |
| ルーティング | 🔴警報=即対応 / 🟠レビュー=人の確認が必要 / ⚪ログ=正常判定・記録用 |
| 深刻度 | 攻撃の危険度 |
| 攻撃種別 | Jev が分類した攻撃種別(値と意味は下の「攻撃種別の値」表を参照) |
| フラグ | インジェクション疑い・データ抽出疑い・書き込み試行 |
| 信頼度 | 判定の確信度(0〜100%) |
| エンジン | jev=2 次 Jev 判定 / rule=1 次ルールのみ |
| 理由 | そのルーティングに分類された根拠 |
攻撃種別(attack type)の値
Jev は各事案を以下の 10 種のいずれかに分類します。深刻度(severity)は 0 ノイズ・1 偵察/探索・2 列挙/読み取り試行・3 認証情報/個人情報の読み取り・4 書き込み/ファイル/権限操作 で採点されます。
| 値 | 名称 | 意味 |
|---|---|---|
recon_probe | 偵察・探索 | 本格的な攻撃の前に「ここでインジェクションが通るか」を試す初期探索です。小さな変形を入れて反応を見るだけの段階なので、それ自体ではデータの流出・改ざんはありませんが、この後に本物の攻撃が来る可能性のあるサインです(通常は深刻度 1)。 |
boolean_blind | 真偽ブラインド | 出力が見えないとき、条件の真偽で応答が変わることを利用して値を 1 文字(ビット)ずつ割り出します。 |
time_blind | 時間ブラインド | 応答内容が見えないとき、SLEEP などの遅延を入れ、応答が遅いかどうかで真偽を推論します。 |
union_based | UNION 系抽出 | UNION SELECT で攻撃者の望むデータを正常結果の後ろに付けて一括で抜き出します。 |
error_based | エラー系 | わざと DB エラーを起こし、そのエラーメッセージにデータが混じって出るようにします。 |
file_write | ファイル書き込み | INTO OUTFILE/DUMPFILE でサーバーにファイルを書きます(ウェブシェル設置など。非常に危険、通常は深刻度 4)。 |
file_read | ファイル読み取り | LOAD_FILE でサーバーのファイルを読み取ります。 |
schema_enum | スキーマ列挙 | information_schema などでどのテーブル・カラムがあるか構造を調べます(偵察的)。 |
stacked_or_ddl | スタック/DDL | セミコロンでクエリを連結したり、DROP・ALTER のような構造変更を試みます。 |
benign | 攻撃ではない | 正常な要求と判定されたもの(根拠記録用)。 |
つまり
recon_probeは「まだデータは抜かれていないが、攻撃者が脆弱性を探っている最中」という意味です。同じ収集元からrecon_probeが繰り返される場合は本格攻撃の前兆とみなし、注意して見てください。
ルーティング(routedTo)の意味
- 🔴警報(alert): データ流出・書き込み試行の疑い、または高信頼の攻撃。直ちに確認してください。
- 🟠レビュー(review): インジェクションの可能性が曖昧で人の判断が必要なもの。
- ⚪ログ(log): 正常と判定されたもの(根拠保存用)。平常時はほとんどがこれです。
データが表示されないとき
- 自組織に secwatch 収集エージェントがまだ無い、または選択期間に送信イベントが無い場合は空になります。送るイベントが無くても収集エージェントは正常稼働している場合があります(稼働確認はローカル
monitor.py)。 - 「アクセス拒否」はアカウントレベルが 50 未満です。
関連
- 収集エージェントの導入・運用: secwatch エージェント(giip-fde-agent)運用ガイド。
- 判定・保存・保持の仕様:
SPEC_JEV_SQLI_DETECTION。