red-detector

Red-Detector

説明

Vuls (https://vuls.io/en/) を使用して EC2 インスタンスの脆弱性をスキャンします。

Lynis (https://cisofy.com/solutions/#lynis) を使用して EC2 インスタンスのセキュリティ設定ミスを監査します。

Chkrootkit (http://www.chkrootkit.org/) を使用して EC2 インスタンスにルートキットの兆候がないかスキャンします。

要件

以下に示す EC2 アクションが設定された AWS アカウント。これらの要件を含むポリシーは red-detector-policy.json にあります。

アクションの詳細:

必要なアクション権限	必要な理由
"AttachVolume"	取得したスナップショットのボリュームを脆弱性スキャンに使用する EC2 インスタンスにアタッチできるようにします。
"AuthorizeSecurityGroupIngress"	セキュリティグループを EC2 インスタンスにアタッチできるようにします。SSH ポートとスキャン UI アクセス用に生成されたランダムポートへの IP 許可が含まれます。
"DescribeInstances"	クライアントの EC2 インスタンス詳細へのアクセスを可能にします。
"CreateKeyPair"	EC2 インスタンスのキーとして使用されるキーペアの作成を可能にします。
"CreateTags"	ボリュームとスナップショットへのタグの作成を有効にします。
"DescribeRegions"	クライアントのアクティブなリージョンへのアクセスを可能にし、ユーザーがスキャンに適切なリージョンを選択できるようにします。
"RunInstances"	ユーザーのクライアント下での EC2 インスタンスの作成を可能にします。
"ReportInstanceStatus"	作成された EC2 インスタンスの現在のステータスを取得して実行中であることを確認できるようにします。
"DescribeSnapshots"	取得したスナップショットの現在のステータスを取得して利用可能であることを確認できるようにします。
"DescribeImages"	AMI を照会して最新の Ubuntu AMI を取得できるようにします。
"DescribeVolumeStatus"	作成中のボリュームの現在のステータスを取得できるようにします。
"DescribeVolumes"	ボリュームの詳細を取得できるようにします。
"CreateVolume"	ボリュームを作成し、取得したスナップショットをアタッチして、脆弱性スキャンに使用する EC2 インスタンスにアタッチできるようにします。
"DescribeAvailabilityZones"	クライアントのアクティブなアベイラビリティーゾーンへのアクセスを可能にし、EC2 インスタンスにアタッチされる作成ボリューム用にゾーンを選択できるようにします。
"DescribeVpcs"	クライアントのデフォルト VPC を取得できるようにします。EC2 のセキュリティグループ生成に使用されます。
"CreateSecurityGroup"	EC2 インスタンスにアタッチされるセキュリティグループの作成を可能にします。
"CreateSnapshot"	スナップショットの取得を可能にします。選択した EC2 インスタンスのスナップショットを取得するために使用されます。
"DeleteSnapshot"	プロセス中に作成された古いスナップショットの削除を可能にします。

実行中の EC2 インスタンス - スキャンする EC2 インスタンスのリージョンとインスタンス ID を確認してください。サポートされているバージョン:
- Ubuntu: 14, 16, 18, 19, 20
- Debian: 6, 8, 9
- Redhat: 7, 8
- Suse: 12
- Amazon: 2
- Oracle: 8

インストール

sudo git clone https://github.com/lightspin-tech/red-detector.git
pip3 install -r requirements.txt

使用方法

インタラクティブ

python3 main.py

コマンド引数

usage: main.py [-h] [--region REGION] [--instance-id INSTANCE_ID] [--keypair KEYPAIR] [--log-level LOG_LEVEL]

optional arguments:
  -h, --help                show this help message and exit
  --region REGION           region name
  --instance-id INSTANCE_ID EC2 instance id
  --keypair KEYPAIR         existing key pair name
  --log-level LOG_LEVEL log level

フロー

main.py を実行します。
リージョンの選択: デフォルトリージョン (us-east-1) を使用するか、リージョンを選択します。選択したリージョンに EC2 インスタンスが存在しない場合は、別のリージョンを選択するよう求められます。
EC2 インスタンス ID の選択: 選択したリージョン内のすべての EC2 インスタンス ID のリストが表示され、スキャンするインスタンスを選択するよう求められます。有効な回答 (希望する ID の左側の番号) を選択してください。
プロセスの進行状況を追跡します... 約30分かかります。
レポートへのリンクを取得します！

トラブルシューティング

詳細ログ

python3 main.py --log-level DEBUG

スキャナーデータベース更新プロセス

作成された EC2 インスタンスに接続します ssh ubuntu@PUBLICIP -i KEYPAIR.pem
進行状況を監視します tail /var/log/user-data.log

お問い合わせ

技術情報については、[email protected] までお問い合わせください。

この機能をさらに強化したものをご覧になりたいですか？ Lightspin.io をチェックしてください。

ライセンス

このリポジトリは Apache License 2.0 の下で利用可能です。