SyntheticSun

SyntheticSun एक रक्षा-गहराई (defense-in-depth) सुरक्षा ऑटोमेशन और निगरानी ढांचा (framework) है जो खतरा खुफिया (threat intelligence), मशीन लर्निंग, प्रबंधित AWS सुरक्षा सेवाओं और सर्वरलेस प्रौद्योगिकियों का उपयोग करके लगातार खतरों को रोकता, पहचानता और उनका जवाब देता है।

आप टूटे हुए कांच में सोते हैं
अपने प्रतिबिंबों के साथ,
लेकिन क्या आप जीवित महसूस कर रहे हैं?
हाँ, मुझे आपसे पूछने दीजिए,
क्या आप जीवित महसूस कर रहे हैं?
_{- Norma Jean, 2016}

सारांश

• इवेंट- और समय-आधारित सर्वरलेस ऑटोमेशन (जैसे AWS CodeBuild, AWS Lambda) का उपयोग करके Kibana में सुरक्षा टेलीमेट्री को एकत्रित, सामान्यीकृत, समृद्ध और सहसंबंधित (correlate) करता है
• सुरक्षा टेलीमेट्री को और समृद्ध करने और संभावित खतरों की पहचान करने के लिए खतरा खुफिया, भू-स्थान डेटा, ओपन-सोर्स खुफिया, मशीन लर्निंग (ML) समर्थित विसंगति पहचान और AWS API का लाभ उठाता है
• Random Cut Forests (RCF) और IP Insights अनुपरिवेक्षित ML एल्गोरिदम का उपयोग करता है ताकि क्रमशः समय-श्रृंखला और IP-एंटिटी जोड़ी डेटा में विसंगतियों की पहचान की जा सके। नए IP Insights एंडपॉइंट को प्रशिक्षित करने और तैनात करने के लिए सर्वरलेस, कंटेनर-ऑर्केस्ट्रेटेड संसाधन प्रदान किए गए हैं।
• ज्ञात खतरों के खिलाफ आपके खाते और बुनियादी ढांचे की सुरक्षा को मजबूत करने के लिए AWS WAFv2 IP Sets और Amazon GuardDuty खतरा इंटेल सेट को गतिशील रूप से अपडेट करता है

विवरण

SyntheticSun Malware Information Sharing Platform (MISP) और Anomali के LIMO के उपयोग के आसपास बनाया गया है, जो सामुदायिक संचालित खतरा खुफिया प्लेटफॉर्म (TIPs) हैं जो विभिन्न प्रकार के समझौता संकेतक (IoC) प्रदान करते हैं। सामान्यीकृत और डुप्लिकेट रहित खतरा इंटेल को लगभग वास्तविक समय में खोजा जाता है ताकि विभिन्न प्रकार के नेटवर्क ट्रैफ़िक में ज्ञात खतरों की तुरंत पहचान की जा सके। संभावित खतरों की पहचान में गतिशीलता जोड़ने के लिए, IP Insights मॉडल तैनात किए जाते हैं ताकि IP पतों और संस्थाओं (जैसे IAM प्रिंसिपल ID, user-agent, आदि) के युग्मन के बीच विसंगतियों (और उनमें संभावित खतरों) का पता लगाया जा सके; Elasticsearch में मूल RCF डिटेक्टरों का भी उपयोग किया जाता है ताकि निकट-वास्तविक समय की सुरक्षा टेलीमेट्री में विसंगतियां पाई जा सकें, जैसे ही वे Kibana में स्ट्रीम होती हैं। सुरक्षा टीमों के भीतर ML मॉडल के उपयोग और फाइन-ट्यूनिंग को लोकतांत्रिक बनाने के लिए, मुख्य समाधान के अतिरिक्त IP Insights मॉडल को प्रशिक्षित करने की उपयोगिताएं प्रदान की जाती हैं।

सुरक्षा टेलीमेट्री के ऑर्केस्ट्रेशन और ऑटोमेशन के साथ-साथ निष्कर्षण, परिवर्तन और लोडिंग (ETL) को Kibana में करने के लिए, विभिन्न AWS सर्वरलेस प्रौद्योगिकियों जैसे AWS Lambda, Amazon DynamoDB, और AWS CodeBuild का उपयोग किया जाता है। ऐसी सर्वरलेस प्रौद्योगिकियों का उपयोग उनकी स्केलेबिलिटी, उपयोग में आसानी, भारी MapReduce या Glue ETL-आधारित समाधानों की तुलना में अपेक्षाकृत सस्ती लागत के लिए किया जाता है। समाधान का अधिकांश भाग CloudFormation के माध्यम से तैनात किया जाता है, जिसमें विभिन्न चरणों में Python और शेल में सहायक स्क्रिप्ट प्रदान की जाती हैं ताकि अपनाने और सतत एकीकरण पाइपलाइनों में संभावित तैनाती को बढ़ावा दिया जा सके।

समाधान को यथासंभव पतला रखने के लिए, बुनियादी Python मॉड्यूल जैसे boto3, requests, json, ipaddress, socket और re अधिकांश निष्कर्षण, परिवर्तन और लोडिंग (ETL) को डाउनस्ट्रीम सेवाओं में करते हैं। चूंकि सभी भू-स्थान जानकारी ip-api.com द्वारा प्रदान की जाती है, इसलिए इसमें खाते या भुगतान स्तर की आवश्यकता नहीं है और इसका एक बेहतरीन API है जिसमें उनके प्रतिक्रिया हेडर में थ्रॉटलिंग जानकारी शामिल है। Elasticsearch और Kibana की अधिकांश निर्भरताएं भी कोड में प्रदान की जाती हैं (इंडेक्स, मैपिंग, विज़ुअलाइज़ेशन, आदि) ताकि भारी मैन्युअल कॉन्फ़िगरेशन से बचा जा सके।

सेटअप करना

SyntheticSun समाधान के आकार और आवश्यक निर्भरताओं के कारण तीन चरणों में फैला हुआ है। सभी आर्किटेक्चर और स्थापना निर्देश (और जहां उपयुक्त हो, FAQ) अपने स्वयं के चरण में रहते हैं। विस्तारित कार्यक्षमता के लिए ऐड-ऑन मॉड्यूल (जिसे परिशिष्ट कहा जाता है) भी प्रदान किए जाते हैं, जिनके अपने स्वयं के आर्किटेक्चर और स्थानीयकृत स्थापना निर्देश हैं।

शुरू करने से पहले: उत्पादन तैनाती के लिए विचार

SyntheticSun, GitHub पर मिलने वाली चीज़ होने के कारण, एक प्रूफ-ऑफ-कॉन्सेप्ट है और इसलिए मैंने पहली रिलीज़ के लिए हर चीज़ को पूरी तरह से सख्त करने की अतिरिक्त मेहनत नहीं की। यदि आप इसे ऐसे समय में पढ़ रहे हैं जब मैंने आवश्यक परिवर्तन नहीं किए हैं, तो इस समाधान को उत्पादन वातावरण (या उच्च सुरक्षा आवश्यकताओं वाले किसी भी वातावरण) में तैनात करने से पहले निम्नलिखित पर विचार करें। मैं इन वस्तुओं को एक रोडमैप पर रखूंगा और उचित समय पर अपडेट करूंगा।

1. परिशिष्ट A में दिए गए उदाहरणों का उपयोग करके अपने स्वयं के IP Insights मॉडल को प्रशिक्षित करें। अपने स्वयं के डेटा का उपयोग करके और मॉडल को लगातार पुनः प्रशिक्षित करने से निष्कर्षों को सटीक बनाने में मदद मिलेगी।
2. अपने CodeBuild प्रोजेक्ट्स, MISP सर्वर और Elasticsearch Service डोमेन को एक VPC में तैनात करें ताकि इंटरनेट से होने वाले हमलों से सुरक्षा हो सके। MISP कंसोल और Kibana को VPC के भीतर एक्सेस करने के लिए AWS' Client VPN, AWS Site-to-Site VPN, DirectConnect, Amazon Workspaces, और AppStream 2.0 या (यदि बिल्कुल आवश्यक हो) रिवर्स-प्रॉक्सी का उपयोग करने पर विचार करें।
3. Kibana में AuthN के लिए Cognito का उपयोग करने पर विचार करें। अपने User Pool को अपने कॉर्पोरेट IdP के साथ फ़ेडरेट करने के लिए एक कदम और आगे बढ़ें।
4. MISP के लिए अपनी खुद की AMI बनाने या इसे होस्ट करने के लिए Fargate का उपयोग करने पर विचार करें। मैं भविष्य के बिल्ड में Suricata और Amazon CloudWatch Agent को पहले से बेक करने पर भी विचार करूंगा ताकि आपकी संपत्ति में एजेंटों और HIDPS की तैनाती को स्केल करने में मदद मिल सके।
5. अपनी SecOps टीमों की आवश्यकताओं के अनुरूप अपनी Suricata कॉन्फ़िगरेशन को संशोधित करें, क्योंकि यह समाधान केवल लॉग को डंप करता है। आप अपने स्वयं के नियम लिखने या अपने होस्ट को हमलों से सख्त करने के लिए अन्य स्रोतों को आयात करने पर भी विचार कर सकते हैं।

पूर्वापेक्षाएँ

• AWS खाते तक एडमिन पहुंच (यदि आप इसे बहु-खाता तैनाती में उपयोग कर रहे हैं, तो आप उस खाते में होना चाहिए जहां आपके मास्टर्स या डेलिगेटेड एडमिन मास्टर्स स्थित हैं)
• कम से कम एक लक्ष्य इंस्टेंस और एक्सेस लॉग सक्षम के साथ Application Load Balancer (ALB)
• आपके खाते में CloudTrail लॉगिंग सक्षम
• कम से कम एक निजी सबनेट (NATGW के लिए रूट), एक सार्वजनिक सबनेट (IGW के लिए रूट), और VPC फ़्लो लॉग सक्षम और CloudWatch Logs को प्रकाशित के साथ एक VPC

चरण 1 यहाँ से शुरू होता है

FAQ

1. मुझे इस समाधान का उपयोग क्यों करना चाहिए?

SyntheticSun AWS Cloud पर आपके एज प्रोटेक्शन सुरक्षा उपयोग मामलों के लिए साइबर थ्रेट इंटेलिजेंस और मशीन लर्निंग का उपयोग शुरू करने का एक आसान तरीका है, बिना एक या अधिक वाणिज्यिक उपकरणों में निवेश किए, या आपकी सुरक्षा टीम के लिए डेटा वैज्ञानिक को काम पर रखे (हालाँकि आदर्श रूप से आपको बाद वाला करना चाहिए)। यह समाधान, प्रारंभिक कॉन्फ़िगरेशन के बाद, पूरी तरह से स्वचालित है, जिससे आप मशीन की गति से खतरों की पहचान कर सकते हैं और उनका जवाब दे सकते हैं। अंत में, यह समाधान आपकी घटना प्रतिक्रिया टीम को खतरे के जवाब के लिए उपयोग करने के लिए बुनियादी विज़ुअलाइज़ेशन प्रदान करता है, जैसे कि दुर्भावनापूर्ण माने जाने वाले IP पतों या डोमेन के लिए अनुमत इनबाउंड या आउटबाउंड कनेक्शन या DNS क्वेरी। समाधान का मूल बहुत हल्के ऑटोमेशन और डेटा इंजीनियरिंग पाइपलाइनों पर निर्भर करता है, जिनका सैद्धांतिक रूप से उन उद्देश्यों के लिए पुनः उपयोग किया जा सकता है जहाँ बहु-चरण सामान्यीकरण और संवर्धन या निर्धारित, तेज़-गति वाले बैच कार्यों की आवश्यकता होती है।