threat_detection pattern¶

概要¶

threat_detection patternモジュールでは、AWS環境に対する悪意あるアクティビティや不正な動作の脅威検出とチャットツールへの通知機能を提供します。

想定する適用対象環境¶

threat_detection patternは、Delivery環境およびRuntime環境のいずれでも使用されることを想定しています。

依存するpattern¶

threat_detection patternは、事前に以下のpatternが適用されていることを前提としています。

構築されるリソース¶

このpatternでは、以下のリソースが構築されます。

モジュールの理解に向けて¶

一般的に、インフラストラクチャに対する脅威に対しては素早く検出し調査、修正することが求められます。 threat_detection patternでは、AWS環境に対する脅威の検出とチャットツールへの通知を実現します。

本パターンで構築するリソースのアーキテクチャを下図に示します。

GuardDutyによる脅威の検出¶

Amazon GuardDuty(以下、GuardDuty)は、利用しているAWSアカウントにおけるセキュリティ監視サービスです。
AWSが収集する各種ログを元に、例として以下のような悪意のあるアクティビティやユーザーによる予期しないアクティビティ、疑わしき操作や変更を検出できます。

• マルウェアや意図しないビットコインマイニングに利用されているEC2インスタンス
• 悪意あるIPアドレスやURL、ドメインとの通信
• 普段利用しないAWSリージョンへのインスタンスデプロイ
• パスワード強度を低下させるようなパスワードポリシーの変更

GuardDutyについての詳細は、公式ドキュメントを参照ください。

脅威検出イベントをチャットツールへ通知する¶

GuardDutyが脅威を検出したイベントをチームが利用するチャットツールへ通知することでリスクの早期発見ができ、素早い調査や対応が実施可能になります。

チャットツールに通知される内容は、GuardDutyの検出結果に基づいた以下の情報が通知されます。

Eponaで通知先としてサポートしているチャットツールは以下になります。

• Slack
• Microsoft Teams

チャットツールへの通知には、webhookを用いたTLS通信を利用しています。
通知先となるサービスのIncoming Webhookの設定は、Epona利用者で事前に実施いただく必要があります。

Eponaを導入する企業によってはコンプライアンスなどの観点で、社内で利用しているチャットツールへ通知する場合に送信元IPを制限するケースが想定されます。
これに対応するため、通知機能を実行するLambda関数はVPCに配置することで、送信元IPアドレスを固定化する構成となっています。

GuardDutyが検出した脅威の重大度について¶

GuardDutyの脅威検出結果には、AWSのセキュリティエンジニアにより重大度の値（Severity）が設定されています。
また、セキュリティ問題への対応の判断に役立つように、重大度の値に応じて3段階に重大度レベルが定義されています。

重大度の値と重大度レベルについては、以下のドキュメントを参照してください。
Understanding Amazon GuardDuty findings

Eponaでは、通知を知らせるチャンネルを重大度レベル毎に設定することで通知の範囲を変更することを想定しています。

サンプルコード¶

threat_detection patternを使用したサンプルコードを、以下に記載します。

module "threat_detection" {
  source = "git::https://gitlab.com/eponas/epona.git//modules/aws/patterns/threat_detection?ref=v0.2.6"

  tags = {
    # 任意のタグ
    Environment        = "delivery"
    ManagedBy          = "epona"
  }

  # lambda関数の設定情報
  lambda_function_name = "my-guardduty-notification-function"
  lambda_timeout       = 5

  # Lambdaを配置するVPC情報
  vpc_id            = data.terraform_remote_state.delivery_network.outputs.network.vpc_id
  lambda_subnet_ids = data.terraform_remote_state.delivery_network.outputs.network.private_subnets

  # 通知先となるendpoint情報
  notification_lambda_config = {
    type = "slack",
    endpoints = {
      low    = "https://hooks.slack.com/xxxx/xxxx/xxxx/xxxx",
      medium = "https://hooks.slack.com/yyyy/yyyy/yyyy/yyyy",
      high   = "https://hooks.slack.com/zzzz/zzzz/zzzz/zzzz"
    }
  }
}

関連するpattern¶

threat_detection patternに関連するpatternはありません。

ログの集約¶

threat_detection patternでは、AWS Lambda関数のログをAmazon CloudWatch Logsに出力します。

このログは、datadog_log_trigger patternを使用することでDatadogに集約できます。

入出力リファレンス¶

Requirements¶

Inputs¶

{
  type   = "slack"
  endpoints = {
    medium = "https://hooks.slack.com/xxxx/xxxx"
    high   = "https://hooks.slack.com/yyyy/yyyy"
  }
}

object({
    type      = string,
    endpoints = map(string)
  })

{
  "endpoints": {
    "high": null,
    "low": null,
    "medium": null
  },
  "type": "slack"
}

Outputs¶

※ このドキュメントはクリエイティブコモンズ(Creative Commons) 4.0 の「表示—継承」に準拠しています。

※ このドキュメントに記載されている会社名、製品名は、各社の登録商標または商標です。

© 2021 TIS Inc.