AlertResponder

NOTE : Ce dépôt est obsolète. Le nouveau dépôt est ici : https://github.com/m-mizutani/deepalert

AlertResponder est un framework serverless pour la réponse automatique aux alertes de sécurité.

Aperçu

AlertResponder reçoit une alerte qui est un événement d'intérêt du point de vue de la sécurité et répond automatiquement à l'alerte. AlertResponder comporte 3 parties de réponse automatique.

1. Inspecteur enquête sur les entités apparues dans l'alerte, y compris l'adresse IP, le nom de domaine et stocke un résultat : réputation, historique des activités malveillantes, instance cloud associée, etc. Les composants suivants sont déjà fournis pour s'intégrer à votre environnement AlertResponder. Vous pouvez également créer votre propre inspecteur pour vérifier les journaux stockés dans le stockage de journaux d'origine ou un système de recherche de journaux.
   • VirusTotalInspector
2. Relecteur reçoit l'alerte avec le(s) résultat(s) de l'inspecteur et évalue la sévérité de l'alerte. Le relecteur doit être écrit par chaque opérateur/administrateur de sécurité de votre organisation car les politiques de sécurité diffèrent d'une organisation à l'autre.
3. Émetteur reçoit finalement l'alerte avec le résultat de l'évaluation de sévérité du relecteur. Ensuite, l'émetteur envoie vers un système externe intégré. Par exemple, PagerDuty, Slack, Github Enterprise, etc. Une quarantaine automatique peut également être configurée à l'aide de la fonction AWS Lambda.
   • GheReporter

Concept

• Analyse de corrélation basée sur le pull
• Aggrégation d'alertes
• Inspecteurs et émetteurs enfichables

Pour commencer

Veuillez remplacer les variables suivantes en fonction de votre environnement :

• $REGION : Remplacez-la par votre région AWS. (ex. ap-northeast-1)
• $STACK_NAME : Remplacez-la par le nom de votre pile CloudFormation

$ curl -o alert_responder.yml https://s3-$REGION.amazonaws.com/cfn-assets.$REGION/AlertResponder/templates/latest.yml
$ aws cloudformation deploy --template-file alert_responder.yml --stack-name $STACK_NAME --capabilities CAPABILITY_IAM

Développement

Aperçu de l'architecture

Prérequis

• awscli >= 1.16.20
• Go >= 1.11
• GNU automake >= 1.16.1

Déploiement et test

Déployer votre propre pile AlertResponder

Préparez un fichier de paramètres, par exemple config.json et exécutez la commande make.

$ cat config.json
{
  "StackName": "your-alert-responder-name",
  "TestStackName": "your-test-stack-name",
  "CodeS3Bucket": "your-some-bucket",
  "CodeS3Prefix": "for-example-functions",

  "InspectionDelay": "1",
  "ReviewDelay": "10"
}
$ env AR_CONFIG=config.json make deploy

NOTE : Assurez-vous de disposer des identifiants AWS (par exemple, clé API) et des autorisations appropriées.

Déployer une pile de test

Après avoir déployé AlertResponder, déplacez-vous dans le répertoire tester et déployez une pile de test.

$ cd tester/
$ make AR_CONFIG=../config.json deploy

Vous pouvez voir param.json qui est créé par le script dans le répertoire tester après le déploiement.

$ cat params.json
{
  "AccountId": "214219211678",
  "Region": "ap-northeast-1",
  "Inspector": "slam-alert-responder-test-functions-Inspector-1OBGU89CT1P4B",
  "Reporter": "slam-alert-responder-test-functions-Reporter-1NDHU0VDI8OPA"
}

Ensuite, revenez au répertoire racine du dépôt git et vous pouvez exécuter le test d'intégration.

$ go test -v
=== RUN   TestInvokeBySns
--- PASS: TestInvokeBySns (3.39s)
           (snip)
PASS
ok      github.com/m-mizutani/AlertResponder    20.110s