Canarytokens

от Thinkst Applied Research

Обзор

Canarytokens помогают отслеживать активность и действия в вашей сети.

Если у вас возникли проблемы, ознакомьтесь с нашим FAQ здесь или создайте issue, и мы постараемся ответить вам как можно скорее.

Содержание

• Кодекс поведения
• Устаревшие функции
• Установка
• Конфигурация
• Инфраструктура AWS ID
• Настройка исходящего SMTP
• Ограничение частоты оповещений
• Ограничение сбоев webhook
• FAQ
• Участие в разработке

Кодекс поведения

Этот проект и все, кто в нём участвует, руководствуются Кодексом поведения. Участвуя в проекте, вы обязуетесь соблюдать этот кодекс. О случаях неприемлемого поведения сообщайте на [email protected].

Устаревшие функции

• Slack API Token устарел, и создание новых токенов больше невозможно. Старые токены по-прежнему будут работать.

Установка

Мы рекомендуем процесс установки через Docker-образ.

Конфигурация

Сервер Canarytokens может использовать множество различных конфигураций настроек. Вы можете найти их в settings.py. Есть два основных файла настроек: frontend.env и switchboard.env.

Файл frontend.env содержит настройки процесса frontend, такие как:

• CANARY_DOMAINS=mytesttokensdomain.com
• CANARY_NXDOMAINS=pdf.demo.canarytokens.net
• CANARY_AWSID_URL=
• CANARY_AWSID_AUTH=
• CANARY_AWSID_GUID=
• CANARY_AWSID_CONTROL_ACCOUNT_ID=
• CANARY_WEB_IMAGE_UPLOAD_PATH=/uploads
• CANARY_GOOGLE_API_KEY=
• LOG_FILE=frontend.log

Файл switchboard.env содержит настройки процесса switchboard, такие как:

Variable Name	Value
CANARY_MAILGUN_DOMAIN_NAME
CANARY_MAILGUN_API_KEY
CANARY_MANDRILL_API_KEY
CANARY_SENDGRID_API_KEY
CANARY_PUBLIC_IP
CANARY_PUBLIC_DOMAIN
CANARY_ALERT_EMAIL_FROM_ADDRESS	[email protected]
CANARY_ALERT_EMAIL_FROM_DISPLAY	"Canarytoken Mailer"
CANARY_ALERT_EMAIL_SUBJECT	"Alert"
CANARY_MAX_ALERTS_PER_MINUTE	1000
CANARY_SMTP_USERNAME
CANARY_SMTP_PASSWORD
CANARY_SMTP_SERVER	smtp.gmail.com
CANARY_IPINFO_API_KEY	<ipinfo.io api key>
CANARY_SMTP_PORT	587
CANARY_WEB_IMAGE_UPLOAD_PATH	/uploads
LOG_FILE	switchboard.log
ERROR_LOG_WEBHOOK
CANARY_FORCE_HTTPS	force https protocol scheme for Canarytokens
CANARY_LAMBDA_AWS_CRED_REPORT_AUTH

Обратите внимание, что при выборе почтового провайдера, которого вы хотите использовать, вы ДОЛЖНЫ указывать информацию только для этого провайдера. Например, если у вас есть CANARY_MAILGUN_API_KEY, то вы должны удалить остальные, такие как CANARY_SENDGRID_API_KEY и CANARY_MANDRILL_API_KEY.

Если вы используете европейскую инфраструктуру Mailgun для вашего Canarytokens Server, вам нужно добавить CANARY_MAILGUN_BASE_URL=https://api.eu.mailgun.net в ваш switchboard.env. Если вы не укажете это, мы будем использовать обычный URL 'https://api.mailgun.net' по умолчанию.

Инфраструктура AWS ID

Canarytokens для ключей AWS API используют инфраструктуру на стороне AWS для выделения пользователей IAM и выполнения проверок безопасности. Эта инфраструктура переехала в приватный репозиторий.

Этот репозиторий по-прежнему отвечает за точки интеграции, обращённые к Canarytokens:

• CANARY_AWSID_URL в frontend.env — это URL API Gateway/Lambda для эндпоинта LinkAWSIDTokenUserToCanaryConsole, управляемого из приватного репозитория.
• CANARY_AWSID_AUTH в frontend.env должен совпадать с auth-токеном в секрете AWS ID. Frontend отправляет domain, token, auth и guid при создании токена ключа AWS.
• CANARY_AWSID_GUID идентифицирует экземпляр Canarytokens при выделении и удалении токенов ключей AWS.
• CANARY_AWSID_CONTROL_ACCOUNT_ID — это ID аккаунта AWS, которому принадлежит очередь удаления AWS ID.
• Если CANARY_AWSID_URL или CANARY_AWSID_AUTH не заданы, создание токенов ключей AWS отключено для этого экземпляра Canarytokens.
• CANARY_LAMBDA_AWS_CRED_REPORT_AUTH в switchboard.env включает callback /a/cr, используемый проверкой отчёта учётных данных AWS ID.

Настройка исходящего SMTP

При настройке исходящего SMTP учитывайте следующее:

Ограничения:

• для работы этого не должен быть настроен никакой другой провайдер, такой как Mailgun или Sendgrid
• Для AWS SES CANARY_ALERT_EMAIL_FROM_DISPLAY должен быть в формате: CANARY_ALERT_EMAIL_FROM_DISPLAY=CanaryAlert <[email protected]>

Примечание: письма-оповещения SMTP отправляют заголовок From, соответствующий RFC. Если CANARY_ALERT_EMAIL_FROM_DISPLAY настроен как отображаемое имя, итоговый заголовок отображается как Display Name <CANARY_ALERT_EMAIL_FROM_ADDRESS>, что соответствует существующему поведению Mailgun. Это может немного изменить то, как отправитель отображается в почтовых клиентах для развёртываний на базе SMTP, но тело письма-оповещения не изменяется.

Для работы SMTP в switchboard.env должны быть настроены следующие параметры:

• CANARY_SMTP_SERVER: SMTP-сервер
• CANARY_SMTP_PORT: номер порта SMTP-сервера (должен быть портом с поддержкой StartTLS!)
• CANARY_SMTP_USERNAME: имя пользователя для SMTP-сервера (анонимный SMTP сейчас не поддерживается)
• CANARY_SMTP_PASSWORD: пароль, соответствующий имени пользователя

Полный пример конфигурации в switchboard.env тогда выглядит так:

CANARY_SMTP_SERVER=smtp.yourserver.com
CANARY_SMTP_PORT=587
CANARY_SMTP_USERNAME=<your smtp username>
CANARY_SMTP_PASSWORD=<your smtp password>
[email protected]
CANARY_ALERT_EMAIL_SUBJECT="Canary Alert via SMTP"

Ограничение частоты оповещений

По умолчанию, если только не запущено в режиме DEBUG, допускается не более 1 оповещения на уникальный вызывающий IP в минуту. Активность по-прежнему будет записываться в базу данных и отображаться в консоли управления токенами, но оповещения генерироваться не будут (email и/или webhook).

Это настраивается с помощью переменной окружения switchboard CANARY_MAX_ALERTS_PER_MINUTE.

Ограничение сбоев webhook

После того как webhook возвращает ошибку 5 раз подряд, он отключается. Это поведение можно настроить с помощью MAX_ALERT_FAILURES.

FAQ

У нас есть FAQ здесь