cred-club/dialイベント駆動型のAWSセキュリティ設定ミス検出フレームワーク。複数のアカウントをリアルタイムで監視し、IAM、S3、EC2、データベースの設定ミスに対してLambda経由でアラートをトリガー。検出レイテンシは7秒未満。
クラウド上のワークロードは、内部チームと同様にハッカーにも平等な機会を提供します。クラウドネイティブな企業は、外部からの攻撃と内部からの攻撃の両方にさらされています。セキュリティ侵害のリスクが増大し続け、クラウドの設定ミスがその最も一般的な要因の一つである中、検出までの平均時間（MTTD）を数分/時間/日から秒単位に短縮する必要があります。そこで、私たちは社内ツール DIAL（Did I Alert Lambda?） を紹介します。これは、任意の数のAWSアカウントを任意の期間監視するのに役立ちます。
DIAL（Did I Alert Lambda?） は、AWS API Gateway、AWS Event Bridge、AWS LambdaなどのAWSマネージドサービス上で完全に動作する、集中型のセキュリティ設定ミス検出フレームワークです。DIALの主な機能は以下の通りです。
詳細については、次の技術ブログをご参照ください。
以下のように、関連するすべての詳細を含む実用的なアラートを受け取ることができます。
アーキテクチャは、次の2つのコンポーネントに分割されています。
子コントローラー：子コントローラーはイベントハンドラとして機能し、検出フレームワークを適用したいすべてのアカウント/リージョンにデプロイする必要があります。これはEvent Bridgeにトリガーとして接続され、関心のあるイベントが発生すると子コントローラーが起動します。このコントローラーは、設定ファイルで定義された重大度とともに、ユーザーが設定したSLACKチャンネルにアラートを送信する役割も担います。その後、レスポンスオブジェクト全体を親コントローラーに転送し、さらに処理と保存を行います。
親コントローラー：DIALのフレームワークに必要な親コントローラーは1つだけで、SIEM、IR、およびアラートの永続ストレージのアグリゲーターとして機能します。親コントローラーは、バックエンドで1つのAWS Lambdaに接続されたAPI Gatewayと連携し、その唯一の目的はデータを収集することです。API Gatewayへのリクエストは認証される必要があり、これはエンドユーザーのニーズに応じて設定可能です。
注：ここでは、データを取り込むためのオープンソースIRツールとしてTheHiveプロジェクトを使用しています。レスポンスオブジェクトを任意のSIEM/IRツールに送信するために親コントローラーの関数を変更することもできます。その場合は、必要に応じて必要なパラメーターを追加するようにしてください。
現在、DIALの検出モジュールをリリースしています。これは設定ミスを検出するのに役立ちます。近い将来、修復モジュールもリリースする予定です。以下は、DIALが現在検出およびアラートを送信できるユースケースです。
IAM
S3
EC2
Secret Manager/SSM Parameter Store
データベース(RDS/DynamoDB)
GuardDuty
次のファイルを参照してください。
