cred-club/dialОснованная на событиях платформа обнаружения ошибок безопасности AWS, которая в реальном времени мониторит несколько аккаунтов, отправляя оповещения через Lambda о неверных конфигурациях IAM, S3, EC2 и баз данных с задержкой обнаружения менее 7 секунд.
Рабочие нагрузки в облаке предоставляют хакерам не меньше возможностей, чем внутренним командам. Облачные компании открыты для атак как извне, так и изнутри. В условиях постоянно растущего риска утечки данных, а неправильная конфигурация облака является одним из самых распространённых факторов, время обнаружения должно сократиться до секунд, а не минут/часов/дней. Поэтому мы представляем наш внутренний инструмент DIAL (Did I Alert Lambda?), который помогает нам отслеживать любое количество аккаунтов AWS в любой заданный период времени.
DIAL (Did I Alert Lambda?) — это централизованный фреймворк для обнаружения ошибок конфигурации безопасности, который полностью работает на управляемых сервисах AWS, таких как AWS API Gateway, AWS Event Bridge и AWS Lambda. Ниже перечислены некоторые ключевые функции DIAL.
Чтобы узнать больше, вы можете ознакомиться со следующей технической статьёй.
Вы будете получать действенные оповещения, как показано ниже, со всеми соответствующими деталями:
Архитектура разделена на два различных компонента:
Child Controller; Дочерний контроллер действует как обработчик событий и должен быть развёрнут во всех аккаунтах/регионах, где требуется фреймворк обнаружения. Он подключён к Event Bridge в качестве триггера, который, в свою очередь, запускает дочерний контроллер при возникновении любого интересующего события. Этот контроллер также отвечает за отправку оповещений в настроенный SLACK-канал пользователя с указанием уровня серьёзности, определённого в файле конфигурации. Затем он передаёт весь объект ответа родительскому контроллеру для дальнейшей обработки и хранения.
Parent Controller; Фреймворку DIAL требуется только один родительский контроллер, который выступает в роли агрегатора для вашей SIEM, IR и постоянного хранения оповещений. Parent Controller работает вместе с API Gateway, который подключён к одной AWS Lambda на бэкенде, единственная цель которой — сбор данных. Запрос к API gateway должен быть аутентифицирован — это также настраивается в соответствии с потребностями конечного пользователя.
Примечание: Здесь мы использовали проект TheHive в качестве open-source инструмента IR для приёма данных. Вы можете просто изменить функцию родительского контроллера, чтобы отправлять объект ответа в любой SIEM/IR-инструмент по вашему выбору, но не забудьте изменить необходимые параметры, которые нужно добавить поверх него.
В настоящее время мы выпускаем модуль обнаружения DIAL, который поможет вам выявлять любые ошибки конфигурации. Мы планируем выпустить модуль исправления в ближайшем будущем. Ниже приведены сценарии обнаружения, которые DIAL умеет выявлять и по которым отправляет оповещения.
IAM
S3
EC2
Secret Manager / SSM Parameter Store
Базы данных (RDS/DynamoDB)
GuardDuty
Пожалуйста, обратитесь к следующему файлу.
