【CSPM】Prisma Cloudから取得したデータでアラート状態をPythonで可視化してみた【データ分析】

はじめに

Prisma Cloudではコンソールから取得できるデータがいくつかあり、アラートデータもそのひとつです。

日々大量に発生するアラートの中から、本当に注視すべきリスクや傾向を読み解くのは容易ではありません。手動での確認には限界があり、セキュリティ運用の非効率さにも繋がりかねません。

今回は、Prisma Cloudで検知されたアラートデータを取得して、クラウド環境のアラート状況をわかりやすく可視化できないか試してみました。

取得データの紹介

まず、アラートデータはPrisma Cloudコンソールの「アラート画面」の「csvファイルをダウンロード」から取得できます。

csvファイルに記載されているカラムは以下22項目です。

今回はこの中から「Policy Type」、「Policy Severity」、「Cloud Account Id」を使用していきます。

可視化の準備：分析シナリオと仮想データの作成

今回は実際のアラート情報ではなく、仮想的なアラートデータを作成し、どのように可視化分析ができるかご紹介します。

可視化分析をするにあたって3つのそれぞれ状況の違うクラウドアカウントのアラート状況を用意しました。以下簡単な説明です。

各クラウド環境の具体的なデータは以下の通りです。

左列の「Policy Type」と、上段の「Policy Severity」の組み合わせごとに、発生したアラートの件数を示しています。

Pythonによるデータ分析と可視化の実装

今回のPrisma Cloudアラートデータの可視化分析にはPythonを使用しました。

主な利用ライブラリは、データの読み込みや加工を行うpandas、そしてグラフ描画を担当するmatplotlibです。

処理の概要

読み込んだアラートデータの「Policy Severity」（重要度）を数値に変換するスコアリング処理を行います。これにより、例えば「critical」なアラートは「5点」、「informational」なアラートは「1点」といった形で、重要度を数値として扱えるようになります。

具体的には、以下のように変換しています。

critical: 5点
high: 4点
medium: 3点
low: 2点
informational: 1点
このスコアを使って、各「Cloud Account Id」（クラウドアカウント）ごとに、「Policy Type」別のアラート数を集計し、さらに重要度の平均値を算出しています。

そして、これらの集計結果をもとに、各クラウドアカウントごとに「バブルチャート」を生成します。

このバブルチャートでは、以下の要素で構成されます。

横軸: そのポリシータイプで発生したアラートの総数。右に行くほどアラートが多いことを示します。
縦軸: そのポリシータイプにおけるアラートの平均的な重要度スコア。上に行くほど平均重要度が高いことを示します。

バブルの大きさ: 発生したアラートの総数が多いほど、バブルが大きくなります。
バブルの色: 同様に可読性を上げるため、平均重要度が高いほど、バブルの色が濃い赤色に変化します。
バブル内のテキスト: 各バブルの中には、それがどの「Policy Type」に属するかの名前が表示されます。

このバブルチャートを見ることで、「どのクラウドアカウントで、どのポリシータイプのアラートが、どれくらいの量と重要度で発生しているのか」を一目で把握できるようになります。例えば、「ネットワーク関連のアラートが非常に多く、かつ重要度も高い」といったクラウド環境のアラート状況を視覚的に理解できます。

結果の表示

前述のPythonコードで処理したバブルチャートを実際に表示すると以下のようになります。

このグラフを見ることで、各クラウドアカウントにおいて、どのようなポリシータイプのアラートが、どれくらいの量と重要度で発生しているのかを一目で把握できます。

Cloud Account ID：1

全体的に重要度の低いアラートが検知されていることが読み取れます。また、networkとiam(右の方で重なって表示されています)ポリシータイプのアラート件数が70程度とほぼ同数で最も多く検知されていることが読み取れます。

Cloud Account ID：2

networkとiamで際立って重要度の高いアラートが多く検出されていることが見て取れます。

Cloud Account ID：3

anomalyアラートが検出されずiamに偏ってアラートが検出されていることが見て取れます。

まとめ

今回はPrisma Cloudのアラートデータ（今回は仮想データを使用）をPythonで処理し、ポリシータイプごとのアラート数と平均重要度を示すバブルチャートを作成しました。

バブルチャートはどのポリシータイプにアラートが集中し、かつ平均重要度が高いのかを直感的に捉え、セキュリティ対応の優先順位付けの際の一つの判断材料にできるのではないかと考えました。

このように一次データを処理することで、膨大なアラート情報を可視化しクラウド環境の全体的なセキュリティ状況を感覚的に把握する手助けになるのではないでしょうか。

今回紹介した手法は一例であり、データの性質や分析目的によっては、さらに多様な可視化や分析手法が存在します。また、スコアリングの算出方法などの改善点も考えられます。今後もPrisma Cloudから取得できるデータのさらなる活用方法について、試行錯誤し結果を発信していければと考えております。

また、当社では、Prisma Cloudを利用して複数クラウド環境の設定状況を自動でチェックし、設定ミスやコンプライアンス違反、異常行動などのリスクを診断するCSPMソリューションを販売しております。ご興味のある方はお気軽にお問い合わせください。リンクはこちら↓

マルチクラウド設定診断サービス with CSPM｜ SCSK株式会社

マルチクラウド環境のセキュリティ設定リスクを手軽に確認可能なスポット診断サービスです。独自の診断レポートが、運用上の設定ミスや設計不備、クラウド環境の仕様変更などで発生し得る問題を可視化し、セキュリティインシデントの早期発見に役立ちます。

www.scsk.jp