ArmourBird CSF имеет архитектуру клиент-сервер и поэтому разделен на два компонента:

a) CSF Client

• Этот компонент отвечает за мониторинг установок Docker, контейнеров и образов на целевых машинах
• В первоначальном релизе он будет проверять соответствие CIS Docker benchmark
• Проверки в CSF Client будут настраиваемыми и будут расширяться в будущих релизах и обновлениях
• Он построен на основе Docker bench for security

b) CSF Server

• Это будет агент-приемник для логов безопасности, сгенерированных различными распределенными клиентами CSF (установленными на нескольких физических/виртуальных машинах)
• Также будет иметь UI-подкомпонент для единого управления и панели мониторинга различных уязвимостей/проблем, зарегистрированных клиентами CSF
• Этот сервер также будет предоставлять API, которые можно использовать для интеграции с другими системами

Важное примечание: Инструмент сейчас находится в бета-режиме. Поэтому отладочный флаг django (CSF Server) включен, а SQLite используется в качестве БД в том же Docker-контейнере. Следовательно, запуск нового Docker-контейнера приведет к сбросу базы данных.

Диаграмма архитектуры

API сервера CSF

API инцидентов

POST /issues

• Для отправки отчетов об инцидентах от клиентов CSF

GET /issues/{issueId}

• Для просмотра конкретного инцидента с {id}

GET /issues

• Для просмотра всех инцидентов, отправленных всеми клиентами CSF

PUT /issues/{issueId}

• Для обновления конкретного инцидента (например, критичность, комментарии и т.д.)

DELETE /issues/{issueId}

• Для удаления конкретного инцидента

API клиентов

POST /clients

• Для добавления клиента CSF

GET /clients/{clientId}

• Для просмотра конкретного клиента CSF

GET /clients/

• Для просмотра всех клиентов CSF

PUT /clients/{clientId}

• Для обновления клиента CSF (например, IP-адрес и т.д.)

DELETE /clients/{clientId}

• Для удаления клиента CSF из сети

API групп клиентов

POST /clientGroup

• Добавление клиента в определенную группу (например, product1, HRNetwork, product2 и т.д.)

GET /clientGroup/{groupID}

• Для просмотра деталей группы клиентов

GET /clientGroup/

• Для просмотра всех групп клиентов

PUT /clientGroup/{groupID}

• Для обновления группы клиентов

DELETE /clientGroup/{groupId}

• Для удаления группы клиентов

Установка/Использование

CSF client запускается как Docker-контейнер на вычислительных экземплярах с установленным Docker. Его можно выполнить с помощью следующей команды, используя Docker-образ, размещённый на hub.docker.com:

Убедитесь, что вы обновили переменную окружения CSF_CDN в указанной команде, указав URL сервера CSF. После запуска контейнера он начнёт отправлять логи инцидентов на сервер CSF через постоянные интервалы.

CSF server может работать как Docker-контейнер или нативно на веб-сервере, на который различные клиенты CSF будут отправлять данные. Вы можете запустить его на своём сервере с помощью следующей команды, используя Docker-образ, размещённый на hub.docker.com

Перейдите к CSF server по следующим ссылкам:

• Панель управления: http://< your-domain >/dashboard/
• API: http://< your-domain >/api/

Сборка Docker-образов

Сборка Docker-образа для CSF Client

Сборка Docker-образа для CSF Server

Предварительный просмотр

Панель управления

Просмотр API

Планы

• Интегрировать веб-сервер и базу данных для продакшена
• Добавить поддержку API-ключей в CSF Server
• Добавить дополнительные проверки в CSF Client
• Добавить функциональность создания/обновления/удаления для групп клиентов
• Добавить функциональность обновления/удаления для клиентов
• Улучшить интерфейс панели управления

Веб-сайт

https://www.armourbird.com/

Twitter

http://twitter.com/ArmourBird

Ссылки

https://www.cisecurity.org/cis-benchmarks https://github.com/docker/docker-bench-security