jonrau1/syntheticsun
Serverless AWS-Sicherheitsautomatisierungs-Framework, das Bedrohungsinformationen aufnimmt, ML-basierte Anomalieerkennung (RCF, IP Insights) anwendet und Sicherheitstelemetriedaten in Kibana anreichert, um automatisierte Bedrohungsprävention, -erkennung und -reaktion zu ermöglichen.
SyntheticSun ist ein Sicherheitsautomatisierungs- und Überwachungsframework mit verteidigungstiefem Ansatz, das Bedrohungsinformationen, maschinelles Lernen, verwaltete AWS-Sicherheitsdienste und serverlose Technologien nutzt, um Bedrohungen kontinuierlich zu verhindern, zu erkennen und darauf zu reagieren.
You sleep in fragmented glass
With reflections of you,
But are you feeling alive?
Yeah let me ask you,
Are you feeling alive?
- Norma Jean, 2016
SyntheticSun basiert auf der Nutzung der Malware Information Sharing Platform (MISP) und Anomali's LIMO, die gemeinschaftsgetriebene Threat-Intelligence-Plattformen (TIPs) sind und verschiedene Arten von Indikatoren der Kompromittierung (IoC) bereitstellen. Normalisierte und deduplizierte Threat-Intelligence wird nahezu in Echtzeit abgeglichen, um bekannte Bedrohungen in verschiedenen Arten von Netzwerkverkehr schnell zu identifizieren. Um die Identifizierung potenzieller Bedrohungen dynamischer zu gestalten, werden IP-Insights-Modelle bereitgestellt, um Anomalien (und darin enthaltene potenzielle Bedrohungen) zwischen der Zuordnung von IP-Adressen und Entitäten (wie IAM-Prinzipal-IDs, User-Agents usw.) zu finden. Native RCF-Detektoren werden ebenfalls in Elasticsearch verwendet, um Anomalien in nahezu Echtzeit-Sicherheitstelemetrie zu finden, während diese in Kibana gestreamt wird. Um die Nutzung und Feinabstimmung von ML-Modellen innerhalb von Sicherheitsteams zu demokratisieren, werden Dienstprogramme zum Trainieren von IP-Insights-Modellen als Ergänzung zur Kernlösung bereitgestellt.
Für die Orchestrierung und Automatisierung sowie die Extraktion, Transformation und das Laden (ETL) von Sicherheitstelemetrie in Kibana werden verschiedene AWS-Serverless-Technologien wie AWS Lambda, Amazon DynamoDB und AWS CodeBuild verwendet. Serverlose Technologien wie diese werden wegen ihrer Skalierbarkeit, Benutzerfreundlichkeit und relativ geringen Kosten im Vergleich zu schweren MapReduce- oder Glue-ETL-basierten Lösungen eingesetzt. Ein Großteil der Lösung wird über CloudFormation bereitgestellt, mit Hilfsskripten in Python und Shell, die in den verschiedenen Phasen bereitgestellt werden, um die Übernahme und potenzielle Bereitstellung in Continuous-Integration-Pipelines zu fördern.
Um die "Eingeweide" der Lösung so schlank wie möglich zu halten, führen grundlegende Python-Module wie boto3, requests, json, ipaddress, socket und re den Großteil der Extraktion, Transformation und des Ladens (ETL) in nachgelagerte Dienste durch. Da alle Geolokalisierungsinformationen von ip-api.com bereitgestellt werden, sind weder ein Konto noch kostenpflichtige Stufen erforderlich, und es gibt eine großartige API, die Drosselungsinformationen in ihren Antwort-Headern enthält. Ein Großteil der Abhängigkeiten von Elasticsearch und Kibana wird ebenfalls im Code bereitgestellt (Indizes, Mappings, Visualisierungen usw.), um eine aufwändige manuelle Konfiguration zu vermeiden.
SyntheticSun verteilt sich aufgrund der Größe der Lösung und der erforderlichen Abhängigkeiten auf drei Phasen. Alle Architektur- und Installationsanweisungen (sowie FAQs, wo angebracht) befinden sich in ihrer eigenen Phase. Ergänzungsmodule (Anhang genannt) werden ebenfalls bereitgestellt, um die Funktionalität zu erweitern; diese haben ihre eigene Architektur und Installationsanweisungen lokalisiert.
SyntheticSun ist, da es etwas ist, das Sie auf GitHub gefunden haben, ein Proof-of-Concept, daher habe ich für die erste Version nicht die Extrameile gegangen, um alles absolut zu härten. Angenommen, Sie lesen dies zu einem Zeitpunkt, an dem ich die notwendigen Änderungen noch nicht vorgenommen habe, beachten Sie bitte Folgendes, bevor Sie diese Lösung in einer Produktionsumgebung (oder einer Umgebung mit erhöhten Sicherheitsanforderungen) bereitstellen. Ich werde diese Punkte in eine Roadmap aufnehmen und sie bei Bedarf aktualisieren.
