AlertResponder

ध्यान दें: यह रिपॉजिटरी पुरानी हो चुकी है। नई रिपॉजिटरी यहाँ है: https://github.com/m-mizutani/deepalert

AlertResponder सुरक्षा अलर्ट के स्वचालित प्रतिक्रिया के लिए एक सर्वरलेस फ्रेमवर्क है।

अवलोकन

AlertResponder एक अलर्ट प्राप्त करता है जो सुरक्षा दृष्टिकोण से रुचि की घटना है और अलर्ट का स्वचालित रूप से जवाब देता है। AlertResponder के स्वचालित प्रतिक्रिया के 3 भाग हैं।

1. इंस्पेक्टर अलर्ट में दिखाई देने वाली संस्थाओं की जांच करता है, जिसमें IP पता, डोमेन नाम शामिल है और परिणाम संग्रहीत करता है: प्रतिष्ठा, दुर्भावनापूर्ण गतिविधियों का इतिहास, संबंधित क्लाउड इंस्टेंस आदि। निम्नलिखित घटक पहले से ही आपके AlertResponder वातावरण के साथ एकीकृत करने के लिए प्रदान किए गए हैं। साथ ही आप मूल लॉग स्टोरेज या लॉग सर्च सिस्टम में संग्रहीत लॉग की जांच करने के लिए स्वयं का इंस्पेक्टर बना सकते हैं।
   • VirusTotalInspector
2. समीक्षक इंस्पेक्टर के परिणामों के साथ अलर्ट प्राप्त करता है और अलर्ट की गंभीरता का मूल्यांकन करता है। समीक्षक को आपके संगठन के प्रत्येक सुरक्षा संचालक/प्रशासक द्वारा लिखा जाना चाहिए क्योंकि सुरक्षा नीतियां संगठन से संगठन में भिन्न होती हैं।
3. एमिटर अंततः समीक्षक के गंभीरता मूल्यांकन के परिणाम के साथ अलर्ट प्राप्त करता है। उसके बाद, एमिटर बाहरी एकीकृत सिस्टम को भेजता है। जैसे, PagerDuty, Slack, Github Enterprise, आदि। साथ ही AWS Lambda फ़ंक्शन द्वारा स्वचालित क्वारंटाइन कॉन्फ़िगर किया जा सकता है।
   • GheReporter

अवधारणा

• पुल-आधारित सहसंबंध विश्लेषण
• अलर्ट एकत्रीकरण
• प्लग करने योग्य इंस्पेक्टर और एमिटर

आरंभ करना

कृपया अपने वातावरण के अनुसार निम्नलिखित वेरिएबल बदलें:

• $REGION: इसे अपने AWS क्षेत्र से बदलें। (उदा. ap-northeast-1)
• $STACK_NAME: इसे CloudFormation स्टैक नाम से बदलें

$ curl -o alert_responder.yml https://s3-$REGION.amazonaws.com/cfn-assets.$REGION/AlertResponder/templates/latest.yml
$ aws cloudformation deploy --template-file alert_responder.yml --stack-name $STACK_NAME --capabilities CAPABILITY_IAM

विकास

आर्किटेक्चर अवलोकन

पूर्वापेक्षा

• awscli >= 1.16.20
• Go >= 1.11
• GNU automake >= 1.16.1

तैनाती और परीक्षण

अपना AlertResponder स्टैक तैनात करें

एक पैरामीटर फ़ाइल तैयार करें, जैसे config.json और make कमांड चलाएं।

$ cat config.json
{
  "StackName": "your-alert-responder-name",
  "TestStackName": "your-test-stack-name",
  "CodeS3Bucket": "your-some-bucket",
  "CodeS3Prefix": "for-example-functions",

  "InspectionDelay": "1",
  "ReviewDelay": "10"
}
$ env AR_CONFIG=config.json make deploy

नोट: कृपया सुनिश्चित करें कि आपके पास AWS क्रेडेंशियल्स (जैसे API कुंजी) और उपयुक्त अनुमतियाँ हैं।

एक परीक्षण स्टैक तैनात करें

AlertResponder तैनात करने के बाद, tester निर्देशिका के अंतर्गत जाएं और परीक्षण के लिए एक स्टैक तैनात करें।

$ cd tester/
$ make AR_CONFIG=../config.json deploy

तैनाती के बाद आप tester निर्देशिका के अंतर्गत स्क्रिप्ट द्वारा बनाया गया param.json देख सकते हैं।

$ cat params.json
{
  "AccountId": "214219211678",
  "Region": "ap-northeast-1",
  "Inspector": "slam-alert-responder-test-functions-Inspector-1OBGU89CT1P4B",
  "Reporter": "slam-alert-responder-test-functions-Reporter-1NDHU0VDI8OPA"
}

फिर, git रिपॉजिटरी की शीर्ष स्तर निर्देशिका पर वापस जाएं और आप एकीकरण परीक्षण चला सकते हैं।

$ go test -v
=== RUN   TestInvokeBySns
--- PASS: TestInvokeBySns (3.39s)
           (snip)
PASS
ok      github.com/m-mizutani/AlertResponder    20.110s