AlertResponder

注：このリポジトリは廃止されました。新しいリポジトリはこちら: https://github.com/m-mizutani/deepalert

AlertResponder は、セキュリティアラートの自動対応のためのサーバーレスフレームワークです。

概要

AlertResponder は、セキュリティの観点から注目すべきイベントであるアラートを受け取り、そのアラートに自動的に対応します。AlertResponder は自動対応の3つのパートを持っています。

1. Inspector は、アラートに出現したエンティティ（IPアドレス、ドメイン名など）を調査し、結果（レピュテーション、悪意のある活動の履歴、関連するクラウドインスタンスなど）を保存します。以下のコンポーネントは既に AlertResponder 環境と統合できるように提供されています。また、独自のインスペクタを作成して、元のログストレージやログ検索システムに保存されたログを確認することもできます。
   • VirusTotalInspector
2. Reviewer は、Inspector の結果と共にアラートを受け取り、アラートの重大度を評価します。Reviewer は、セキュリティポリシーが組織ごとに異なるため、各組織のセキュリティオペレーター/管理者によって記述されるべきです。
3. Emitter は、最終的に Reviewer の重大度評価結果と共にアラートを受け取ります。その後、Emitter は外部の統合システム（例：PagerDuty、Slack、Github Enterprise など）に送信します。また、自動隔離は AWS Lambda 関数で設定できます。
   • GheReporter

コンセプト

• プルベースの相関分析
• アラートの集約
• プラグイン可能な Inspector と Emitter

はじめに

以下の変数をご自分の環境に合わせて置き換えてください:

• $REGION: AWS リージョンに置き換えます（例：ap-northeast-1）
• $STACK_NAME: CloudFormation スタック名に置き換えます

$ curl -o alert_responder.yml https://s3-$REGION.amazonaws.com/cfn-assets.$REGION/AlertResponder/templates/latest.yml
$ aws cloudformation deploy --template-file alert_responder.yml --stack-name $STACK_NAME --capabilities CAPABILITY_IAM

開発

アーキテクチャ概要

前提条件

• awscli >= 1.16.20
• Go >= 1.11
• GNU automake >= 1.16.1

デプロイとテスト

AlertResponder スタックのデプロイ

パラメータファイル（例：config.json）を用意し、make コマンドを実行します。

$ cat config.json
{
  "StackName": "your-alert-responder-name",
  "TestStackName": "your-test-stack-name",
  "CodeS3Bucket": "your-some-bucket",
  "CodeS3Prefix": "for-example-functions",

  "InspectionDelay": "1",
  "ReviewDelay": "10"
}
$ env AR_CONFIG=config.json make deploy

注：AWS 認証情報（API キーなど）と適切な権限が必要であることを確認してください。

テストスタックのデプロイ

AlertResponder をデプロイした後、tester ディレクトリに移動し、テスト用のスタックをデプロイします。

$ cd tester/
$ make AR_CONFIG=../config.json deploy

デプロイ後、tester ディレクトリ内にスクリプトによって作成された param.json が表示されます。

$ cat params.json
{
  "AccountId": "214219211678",
  "Region": "ap-northeast-1",
  "Inspector": "slam-alert-responder-test-functions-Inspector-1OBGU89CT1P4B",
  "Reporter": "slam-alert-responder-test-functions-Reporter-1NDHU0VDI8OPA"
}

その後、git リポジトリのトップレベルディレクトリに戻り、統合テストを実行できます。

$ go test -v
=== RUN   TestInvokeBySns
--- PASS: TestInvokeBySns (3.39s)
           (snip)
PASS
ok      github.com/m-mizutani/AlertResponder    20.110s