Slack 監査ログの検索クエリをフォレンジックに使う
Slack の監査ログで検索クエリをエクスポートできるようになった。侵入者はまず「password」「token」などを検索するので、侵害アカウントや特定用語で絞り込んで調査に使う。
いつ使うか
- Slack アカウントやトークンの侵害が疑われるとき、攻撃者が何を探し、何を見た可能性があるかを特定したい。
手順
- Enterprise Grid の監査ログ（Audit Logs API または管理画面）で検索関連のイベントをエクスポートする。
- 侵害が疑われるユーザー ID と期間で絞り込む。
password,パスワード,token,AKIA,secret,.env,VPNなど資格情報系の語で検索履歴をフィルタする。- ヒットしたクエリの結果に含まれ得るチャンネル・メッセージを洗い出し、そこに貼られていた資格情報をローテーションする。
注意点
- 監査ログ API はプラン（Enterprise）が必要。保存期間も確認しておく。
- 平時から Slack に資格情報を貼らない運用（シークレット共有ツールを使う）が根本対策。