最新DFIRツール「Suzaku」使ってみた

はじめに

セキュリティソリューションの堀田です。普段の業務ではフォレンジックなどを行っております。

近年、クラウドコンピューティングの普及に伴い、クラウド環境におけるセキュリティの重要性が高まっていると感じています。少し前にはなりますが、2025年3月17日にデジタルフォレンジック研究会が公開した「証拠保全ガイドライン第10版」*1に、クラウドサービスの章が追加されるなど、クラウド環境における証拠保全や調査手法に注目が集まっています。

そのような状況の中、2025年4月20日にYamato Securityがクラウドログのためのイベント解析ツール、「Suzaku」をリリースしました。現在はα版開発中のツールですが、AWSのCloudTrailに対応しています。

今回はSuzakuを実際に利用し、使用感や簡単な利用例などを備忘録として以下に記載します。

はじめに
Suzakuとは
- Suzakuのダウンロード
- Suzakuの実行
  - インシデントタイムラインの生成
sigmaルールについて
- CloudTrail Logging Stopped
フォレンジックでの利用
さいごに

Suzakuとは

Yamato Securityが開発・リリースしたクラウド用のDFIR(デジタルフォレンジックおよびインシデントレスポンス)ツールです。Suzakuについて、GitHubのreadmeでは以下の通り紹介されています。

Suzakuは、クラウドログのための脅威ハンティングおよび高速フォレンジックタイムライン生成ツールです。･･･(中略)･･･クラウドログには、数千もの異なるAPI呼び出しがあり、手動で確認するには膨大なイベントが存在します。 Suzakuは、ノイズの中から攻撃を見つけるだけでなく、迅速なフォレンジック調査を行うために必要なイベントとデータのみを含むDFIRタイムラインを提供するよう設計されています。

(引用)https://github.com/Yamato-Security/suzaku/blob/main/README-Japanese.md

Suzakuのダウンロード

SuzakuはGitHubからダウンロード可能です。以下のリンクから、お使いの環境に合わせてダウンロードしてください。 github.com

読み込むCloudTrailログが手元にない場合にはサンプルデータも配布されております。 github.com

Suzakuの実行

今回はWindows環境での実行例を記載します。

インシデントタイムラインの生成

展開したSuzakuのディレクトリ配下で以下実行してください。

Suzakuは.jsonおよび.json.gzに対応しています。

以下は配布されていたサンプルデータでの実行例となります。

suzaku-0.1.1-win-x86.exe aws-ct-timeline --directory "<解析対象のパス>"

Suzakuの実行は非常に高速で、サンプルデータ (3.5MB程度) の実行では数秒で完了しました。

実行後には以下のように出力され、検知内容が時間順に並べられます。

上記結果をコマンドライン上で確認してもよいのですが、-o オプションをつけることでファイルへの出力も可能です。

suzaku-0.1.1-win-x86.exe aws-ct-timeline --directory "<サンプルデータのパス>" -o "<出力ファイル名>"

上記を実行することで <出力ファイル名>.csv でファイル出力されます。

sigmaルールについて

sigmaルールは各種ログにおける異常等を検知するための統一されたルールフォーマットです。 Suzakuはあらかじめ定義されたsigmaルールに従って検出を行っています。

Suzakuで利用されている各ルールについて、ある程度名前から内容を推測できますが、詳細を確認したい場合にはダウンロードしたSuzakuのrules ディレクトリ配下の各ymlファイルもしくは、以下のsuzaku-rulesのリポジトリから確認可能です。 github.com

各ルールの説明の他に関連資料や、該当ルールのMITREテクニックのタグもファイル中に記載されています。

以下ではSuzakuで利用されているルールを例に中身を説明します。

CloudTrail Logging Stopped

サンプルの実行結果でも出力されていた High相当の検出内容になります。

タイトルからもわかる通り、CloudTrailのログが停止したという内容のルールになっています。こちらのルールは以下のように記述されています。

title: CloudTrail Logging Stopped
id: da90c11e-e3d4-411e-aaf7-06d02e0c5c23
status: test
description: |
    A user successfully disabled CloudTrail logging.
    Sample command line: aws cloudtrail stop-logging --name TrailName
references:
    - https://securitylabs.datadoghq.com/cloud-security-atlas/attacks/stopping-cloudtrail-trail/
    - https://research.splunk.com/cloud/8a2f3ca2-4eb5-4389-a549-14063882e537/
    - https://logrhythm.com/blog/aws-defense-evasion-and-centralized-multi-account-logging/
    - https://medium.com/daniel-grzelak/disrupting-aws-logging-a42e437d6594
    - https://pages.awscloud.com/rs/112-TZM-766/images/Visibility_detect_respond_AWS_SANS_whitepaper.pdf
    - https://traildiscover.cloud/#CloudTrail-StopLogging
author: Zach Mathis (@yamatosecurity)
date: 2025-04-23
modified: 2025-04-23
tags:
    - attack.defense-evasion
    - attack.t1562.008 # Impair Defenses: Disable or Modify Cloud Logs
logsource:
    product: aws
    service: cloudtrail
detection:
    selection:
        eventSource: 'cloudtrail.amazonaws.com'
        eventName: 'StopLogging'
    filter:
        errorCode: 'AccessDenied'
    condition: selection and not filter
falsepositives:
    - Admins turning off unneeded logging
level: high