AlertResponder

HINWEIS: Dieses Repository ist veraltet. Das neue Repository befindet sich hier: https://github.com/m-mizutani/deepalert

AlertResponder ist ein serverloses Framework für die automatische Reaktion auf Sicherheitswarnungen.

Überblick

AlertResponder empfängt eine Warnung – ein Ereignis aus Sicherheitssicht – und reagiert automatisch darauf. AlertResponder besteht aus drei Komponenten für die automatische Reaktion:

1. Inspector untersucht in der Warnung auftretende Entitäten, darunter IP-Adressen, Domainnamen und speichert Ergebnisse wie Reputation, Verlauf bösartiger Aktivitäten, zugehörige Cloud-Instanzen usw. Folgende Komponenten sind bereits für die Integration in Ihre AlertResponder-Umgebung verfügbar. Sie können auch eigene Inspectors erstellen, um Protokolle aus Ihrem ursprünglichen Protokollspeicher oder Protokollsuchsystem zu überprüfen.
   • VirusTotalInspector
2. Reviewer empfängt die Warnung zusammen mit den Ergebnissen des Inspectors und bewertet deren Schweregrad. Der Reviewer sollte von jedem Sicherheitsverantwortlichen/Administrator Ihrer Organisation geschrieben werden, da Sicherheitsrichtlinien von Organisation zu Organisation unterschiedlich sind.
3. Emitter empfängt schließlich die Warnung zusammen mit der Schweregradbewertung des Reviewers. Anschließend sendet der Emitter die Informationen an ein externes integriertes System, z. B. PagerDuty, Slack, Github Enterprise usw. Auch eine automatische Quarantäne kann über eine AWS Lambda-Funktion konfiguriert werden.
   • GheReporter

Konzept

• Pull-basierte Korrelationsanalyse
• Warnungsaggregation
• Steckbare Inspectors und Emitters

Erste Schritte

Bitte ersetzen Sie die folgenden Variablen entsprechend Ihrer Umgebung:

• $REGION: Ersetzen Sie es durch Ihre AWS-Region (z. B. ap-northeast-1)
• $STACK_NAME: Ersetzen Sie es durch den CloudFormation-Stacknamen

$ curl -o alert_responder.yml https://s3-$REGION.amazonaws.com/cfn-assets.$REGION/AlertResponder/templates/latest.yml
$ aws cloudformation deploy --template-file alert_responder.yml --stack-name $STACK_NAME --capabilities CAPABILITY_IAM

Entwicklung

Architekturübersicht

Voraussetzungen

• awscli >= 1.16.20
• Go >= 1.11
• GNU automake >= 1.16.1

Bereitstellen und Testen

Eigenen AlertResponder-Stack bereitstellen

Bereiten Sie eine Parameterdatei vor, z. B. config.json, und führen Sie den make-Befehl aus.

$ cat config.json
{
  "StackName": "your-alert-responder-name",
  "TestStackName": "your-test-stack-name",
  "CodeS3Bucket": "your-some-bucket",
  "CodeS3Prefix": "for-example-functions",

  "InspectionDelay": "1",
  "ReviewDelay": "10"
}
$ env AR_CONFIG=config.json make deploy

HINWEIS: Stellen Sie sicher, dass Sie AWS-Anmeldedaten (z. B. API-Schlüssel) und entsprechende Berechtigungen besitzen.

Test-Stack bereitstellen

Nach der Bereitstellung von AlertResponder wechseln Sie in das Verzeichnis tester und stellen Sie einen Stack für Tests bereit.

$ cd tester/
$ make AR_CONFIG=../config.json deploy

Nach der Bereitstellung sehen Sie die Datei param.json, die vom Skript im Verzeichnis tester erstellt wurde.

$ cat params.json
{
  "AccountId": "214219211678",
  "Region": "ap-northeast-1",
  "Inspector": "slam-alert-responder-test-functions-Inspector-1OBGU89CT1P4B",
  "Reporter": "slam-alert-responder-test-functions-Reporter-1NDHU0VDI8OPA"
}

Wechseln Sie dann zurück in das oberste Verzeichnis des Git-Repositorys und führen Sie den Integrationstest aus.

$ go test -v
=== RUN   TestInvokeBySns
--- PASS: TestInvokeBySns (3.39s)
           (snip)
PASS
ok      github.com/m-mizutani/AlertResponder    20.110s