AlertResponder

ПРИМЕЧАНИЕ: Этот репозиторий устарел. Новый репозиторий здесь: https://github.com/m-mizutani/deepalert

AlertResponder — это бессерверный фреймворк для автоматического реагирования на оповещения безопасности.

Обзор

AlertResponder получает оповещение, которое представляет собой событие, представляющее интерес с точки зрения безопасности, и автоматически реагирует на него. AlertResponder состоит из 3 частей автоматического реагирования.

1. Inspector исследует сущности, появившиеся в оповещении, включая IP-адреса, доменные имена, и сохраняет результат: репутацию, историю вредоносной активности, связанные облачные экземпляры и т.д. Следующие компоненты уже предоставлены для интеграции с вашей средой AlertResponder. Вы также можете создать собственный инспектор для проверки журналов, хранящихся в оригинальном хранилище журналов или системе поиска журналов.
   • VirusTotalInspector
2. Reviewer получает оповещение с результатами Inspector и оценивает серьезность оповещения. Reviewer должен быть написан каждым оператором/администратором безопасности вашей организации, поскольку политики безопасности различаются от организации к организации.
3. Emitter окончательно получает оповещение с результатом оценки серьезности от Reviewer. После этого Emitter отправляет данные во внешнюю интегрированную систему. Например, PagerDuty, Slack, Github Enterprise и т.д. Также можно настроить автоматическую карантинную изоляцию с помощью функции AWS Lambda.
   • GheReporter

Концепция

• Pull-ориентированный корреляционный анализ
• Агрегация оповещений
• Подключаемые инспекторы и эмиттеры

Начало работы

Пожалуйста, замените следующие переменные в соответствии с вашей средой:

• $REGION: Замените на ваш регион AWS (например, ap-northeast-1)
• $STACK_NAME: Замените на имя стека CloudFormation

$ curl -o alert_responder.yml https://s3-$REGION.amazonaws.com/cfn-assets.$REGION/AlertResponder/templates/latest.yml
$ aws cloudformation deploy --template-file alert_responder.yml --stack-name $STACK_NAME --capabilities CAPABILITY_IAM

Разработка

Обзор архитектуры

Предварительные требования

• awscli >= 1.16.20
• Go >= 1.11
• GNU automake >= 1.16.1

Развертывание и тестирование

Развертывание собственного стека AlertResponder

Подготовьте файл параметров, например config.json, и выполните команду make.

$ cat config.json
{
  "StackName": "your-alert-responder-name",
  "TestStackName": "your-test-stack-name",
  "CodeS3Bucket": "your-some-bucket",
  "CodeS3Prefix": "for-example-functions",

  "InspectionDelay": "1",
  "ReviewDelay": "10"
}
$ env AR_CONFIG=config.json make deploy

ПРИМЕЧАНИЕ: Убедитесь, что у вас есть учетные данные AWS (например, ключ API) и соответствующие разрешения.

Развертывание тестового стека

После развертывания AlertResponder перейдите в каталог tester и разверните стек для тестирования.

$ cd tester/
$ make AR_CONFIG=../config.json deploy

После развертывания вы можете увидеть param.json, который создается скриптом в каталоге tester.

$ cat params.json
{
  "AccountId": "214219211678",
  "Region": "ap-northeast-1",
  "Inspector": "slam-alert-responder-test-functions-Inspector-1OBGU89CT1P4B",
  "Reporter": "slam-alert-responder-test-functions-Reporter-1NDHU0VDI8OPA"
}

Затем вернитесь в корневой каталог git-репозитория и выполните интеграционный тест.

$ go test -v
=== RUN   TestInvokeBySns
--- PASS: TestInvokeBySns (3.39s)
           (snip)
PASS
ok      github.com/m-mizutani/AlertResponder    20.110s