deadair v0.5.1

オープンソースのSIEM検知ヘルスチェック。
テレメトリが欠落、陳腐化、遅延、またはスキーマ非互換のために盲目となっている有効な検知を見つけ出します。

ローカルで実行 · 読み取り専用 · エージェント不要 · テレメトリのアップロードなし

技術解説を読む · Detection Engineering Weeklyで紹介

_{意図的に欠落、陳腐化、遅延、未使用のテレメトリを含む使い捨てElasticラボの実際のスキャン。make record-scan-labで再現できます。}

なぜdeadairか

ルールが有効で、スケジュールされ、エラーがない状態でも、そのルールが必要とするデータは消えていることがあります。deadairは稼働中のルールインベントリを読み取り、バックエンドのネイティブなセマンティクスを使用して各ルールの入力を解決し、その背後にある具体的なソースをチェックします。

以下を検出します:

• インデックス、エイリアス、またはデータストリームのセレクタが何も解決しないルール;
• 一致するソースがすべて陳腐化または空であるルール;
• フィールド欠落または取り込み遅延による盲目ウィンドウを抱えて実行されているルール;
• 有効な検知が誰も読み取らない健全なテレメトリ。

deadairは現在、Elastic SecurityとOpenSearch Security Analyticsに対応しています。

クイックスタート

macOS、Linux、Windows用のバイナリをGitHub Releasesからダウンロードするか、Goでインストールします:

go install github.com/alephnull-sh/deadair/cmd/deadair@latest

読み取り専用のSIEM認証情報を接続します:

deadair setup elastic   # print the least-privilege setup
deadair check           # verify the credential can scan
deadair scan            # assess live rules and telemetry

終了コードは安定しています:0は健全、1は検出事項あり、2はスキャン失敗を意味します。

動作の仕組み

deadairは、検知の観測可能なテレメトリ前提条件が存在し、健全であるかどうかを検証します。ルールロジックが正しいことや、シミュレートされた攻撃がアラートを生成することを証明するものではありません。それらのレイヤーについては、静的ルール検証やエンドツーエンドの検知テストと組み合わせてください。

検出事項

すべての判定は、設定された認証情報が参照できる範囲に限定されます。JSONレポートには、設定された式、解決されたソース、解決方法、評価ステータス、バックエンドメタデータ、機能のエビデンスが含まれます。実例とトリアージについては使用ガイドを参照してください。

SIEMに接続する

Elastic:

export DEADAIR_ES_URL=https://es.example.internal:9200
export DEADAIR_KIBANA_URL=https://kibana.example.internal:5601
export DEADAIR_API_KEY=<read-only-api-key>

deadair check
deadair scan --json-out report.json --html-out report.html

OpenSearch:

export DEADAIR_BACKEND=opensearch
export DEADAIR_OPENSEARCH_URL=https://opensearch.example.internal:9200
export DEADAIR_OPENSEARCH_USERNAME=deadair
export DEADAIR_OPENSEARCH_PASSWORD=<password>

deadair check
deadair scan

ElasticまたはOpenSearch用に文書化された最小権限ロールを使用してください。信頼された統合スイートは、それらの認証情報による書き込み試行が拒否されることも実証します。

CI、フリート、モニタリング

# Gate a candidate rule against live source availability.
deadair scan --rule new-rule.json

# Fail only on new regressions between reports.
deadair diff yesterday.json today.json

# Scan multiple SIEM instances from one process.
deadair scan --fleet fleet.json

# Export cached scan results as Prometheus metrics.
deadair serve --interval 5m

scan --rule は候補ルールを無関係なバックログから分離します。diff は決定的に秘匿化されたレポートに対して機能します。フリート設定はシークレット値を保存するのではなく、環境変数経由でシークレットを参照します。

_{使い捨てのElasticスタックに対する候補ルールのゲートとレポートの差分。}

本番パターンについては、CIゲートの動作、フリートおよびMSSP展開、Prometheusの例を参照してください。

テスト済みバックエンド

統合ワークフローは現在、以下の正確なバージョンをテストしています:

他のバージョンでも動作する可能性がありますが、現在のCIマトリクスの対象外です。

セキュリティモデル

• すべてのバックエンドアクセスは読み取り専用です。信頼された統合テストは、文書化された認証情報が書き込みできないことを実証します。
• レポート、HTML、状態ファイル、フリート出力は、POSIXシステムでは 0600 で書き込まれます。
• 認証情報は環境変数またはファイルから取得できるため、プロセス引数にシークレットが含まれません。
• --redact は、テナント、ルール、ソース、パターン、フィールド名を安定したダイジェストに置き換えます。
• エクスポーターはデフォルトでループバックにバインドします。
• deadairには、ホームへの通信や使用状況テレメトリはありません。

レポートは機密性の高いSOC成果物として扱ってください。レポートは盲目の検知、ソース名、スキーマのギャップ、未使用の収集を特定します。

ドキュメント

• 使用ガイド — 最初のスキャン、レポートのエビデンス、検出事項、CIゲート、状態、フリート
• 検証とドッグフーディング — 証明されていることと、まだ現場でのエビデンスが必要なこと
• アーキテクチャ — バックエンド契約、データモデル、安全性の特性、制限
• ベストプラクティス — 展開順序、アラートコンテキスト、ルーティング
• MSSPガイド — シークレット、編集、保持、サイジング、テナント障害処理
• 実行されているのに見えない検知 — 問題と再現可能なシミュレーション

コントリビューション

バグ報告、サニタイズ済みフィクスチャ、正しさの検証ケース、ドキュメント、バックエンドの提案を歓迎します。CONTRIBUTING.mdから始め、アダプター作業にはバックエンドRFCテンプレートを使用してください。

ライセンス

Apache-2.0.