AlertResponder

NOTA: Questo repository è obsoleto. Il nuovo repository si trova qui: https://github.com/m-mizutani/deepalert

AlertResponder è un framework serverless per la risposta automatica degli alert di sicurezza.

Panoramica

AlertResponder riceve un alert, ovvero un evento di interesse dal punto di vista della sicurezza, e risponde automaticamente all'alert. AlertResponder è composto da 3 parti di risposta automatica.

1. Inspector esamina le entità che appaiono nell'alert, inclusi indirizzi IP, nomi di dominio e memorizza un risultato: reputazione, cronologia di attività dannose, istanza cloud associata, ecc. I seguenti componenti sono già forniti per integrarsi con il tuo ambiente AlertResponder. Puoi anche creare un inspector personalizzato per controllare i log memorizzati in un archivio di log originale o in un sistema di ricerca log.
   • VirusTotalInspector
2. Reviewer riceve l'alert con i risultati dell'Inspector e valuta la severità dell'alert. Il Reviewer dovrebbe essere scritto da ogni operatore/amministratore di sicurezza della tua organizzazione poiché le politiche di sicurezza variano da organizzazione a organizzazione.
3. Emitter infine riceve l'alert con la valutazione di severità del Reviewer. Successivamente, Emitter invia il risultato a sistemi esterni integrati. Ad esempio: PagerDuty, Slack, Github Enterprise, ecc. È anche possibile configurare una quarantena automatica tramite AWS Lambda.
   • GheReporter

Concetto

• Analisi di correlazione basata su pull
• Aggregazione degli alert
• Inspector ed Emitter componibili

Per Iniziare

Sostituisci le seguenti variabili in base al tuo ambiente:

• $REGION: Sostituisci con la tua regione AWS (es. ap-northeast-1)
• $STACK_NAME: Sostituisci con il nome dello stack CloudFormation

$ curl -o alert_responder.yml https://s3-$REGION.amazonaws.com/cfn-assets.$REGION/AlertResponder/templates/latest.yml
$ aws cloudformation deploy --template-file alert_responder.yml --stack-name $STACK_NAME --capabilities CAPABILITY_IAM

Sviluppo

Architettura Generale

Prerequisiti

• awscli >= 1.16.20
• Go >= 1.11
• GNU automake >= 1.16.1

Distribuisci e Testa

Distribuisci il tuo stack AlertResponder

Prepara un file di parametri, ad esempio config.json ed esegui il comando make.

$ cat config.json
{
  "StackName": "your-alert-responder-name",
  "TestStackName": "your-test-stack-name",
  "CodeS3Bucket": "your-some-bucket",
  "CodeS3Prefix": "for-example-functions",

  "InspectionDelay": "1",
  "ReviewDelay": "10"
}
$ env AR_CONFIG=config.json make deploy

NOTA: Assicurati di avere le credenziali AWS (es. API key) e i permessi appropriati.

Distribuisci uno stack di test

Dopo aver distribuito AlertResponder, spostati nella directory tester e distribuisci uno stack per i test.

$ cd tester/
$ make AR_CONFIG=../config.json deploy

Dopo la distribuzione, puoi vedere il file param.json creato dallo script nella directory tester.

$ cat params.json
{
  "AccountId": "214219211678",
  "Region": "ap-northeast-1",
  "Inspector": "slam-alert-responder-test-functions-Inspector-1OBGU89CT1P4B",
  "Reporter": "slam-alert-responder-test-functions-Reporter-1NDHU0VDI8OPA"
}

Poi, torna alla directory principale del repository git e puoi eseguire il test di integrazione.

$ go test -v
=== RUN   TestInvokeBySns
--- PASS: TestInvokeBySns (3.39s)
           (snip)
PASS
ok      github.com/m-mizutani/AlertResponder    20.110s