Red Hat Ansible セキュリティー自動化ガイド

手順

1. ansible-galaxy コマンドを使用して acl_manager ロールをインストールします。

   $ ansible-galaxy install ansible_security.acl_manager

   Copy to Clipboard Toggle word wrap

2. 新しい Playbook を作成し、以下のパラメーターを設定します。たとえば、送信元オブジェクト、宛先オブジェクト、2 つのオブジェクト間のアクセスルール、および管理している実際のファイアウォール (Check Point など) です。

   - name: block IP address
     hosts: checkpoint
     connection: httpapi
   
     tasks:
       - include_role:
           name: acl_manager
           tasks_from: block_ip
         vars:
           source_ip: 172.17.13.98
           destination_ip: 192.168.0.10
           ansible_network_os: checkpoint

   Copy to Clipboard Toggle word wrap

3. Playbook を実行します ($ ansible-navigator run --ee false <playbook.yml>)。

   

   View larger image

   

手順

1. ansible-galaxy コマンドを使用して acl_manager ロールをインストールします。

   $ ansible-galaxy install ansible_security.acl_manager

   Copy to Clipboard Toggle word wrap

2. CLI を使用して、acl_manger ロールで新規 Playbook を作成し、パラメーター (例: ソースオブジェクト、宛先オブジェクト、2 つのオブジェクト間のアクセスルール) を設定します。

   - name: delete block list entry
     hosts: checkpoint
     connection: httpapi
   
       - include_role:
           name: acl_manager
           Tasks_from: unblock_ip
         vars:
           source_ip: 192.168.0.10
           destination_ip: 192.168.0.11
           ansible_network_os: checkpoint

   Copy to Clipboard Toggle word wrap

3. Playbook を実行します ($ ansible-navigator run --ee false <playbook.yml>)

   

   View larger image

   

手順

1. ansible-galaxy コマンドを使用して ids_rule ロールをインストールします。

   $ ansible-galaxy install ansible_security.ids_rule

   Copy to Clipboard Toggle word wrap

2. add_snort_rule.yml という名前の新しい Playbook ファイルを作成します。以下のパラメーターを設定します。

   - name: Add Snort rule
     hosts: snort

   Copy to Clipboard Toggle word wrap

3. become フラグを追加して、Ansible が権限昇格を処理するようにします。

   - name: Add Snort rule
     hosts: snort
     become: true

   Copy to Clipboard Toggle word wrap

4. 以下の変数を追加して IDPS プロバイダーの名前を指定します。

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort

   Copy to Clipboard Toggle word wrap

5. Playbook に、以下のタスクおよびタスク固有の変数 (例: ルール、ルール、Snort ルールファイル、およびルールがない状態) を追加します。

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort
   
     tasks:
       -  name: Add snort password attack rule
          include_role:
            name: "ansible_security.ids_rule"
          vars:
            ids_rule: 'alert tcp any any -> any any (msg:"Attempted /etc/passwd Attack"; uricontent:"/etc/passwd"; classtype:attempted-user; sid:99000004; priority:1; rev:1;)'
            ids_rules_file: '/etc/snort/rules/local.rules'
            ids_rule_state: present

   Copy to Clipboard Toggle word wrap

   タスクは、ターゲットマシンに変更を加えるコンポーネントです。このようなタスクを定義するロールを使用しているため、必要となるエントリーは include_role のみです。

   ids_rules_file 変数は local.rules ファイルに定義された場所を指定し、ids_rule_state 変数は、ルールが存在しない場合には作成する必要があることを示しています。

6. 以下のコマンドを実行して Playbook を実行します。

   $ ansible-navigator run add_snort_rule.ym --mode stdout

   Copy to Clipboard Toggle word wrap

   Playbook を実行すると、新規作成したルールに加えて、すべてのタスクが実行します。Playbook の出力では、PLAY、TASK、RUNNING HANDLER、PLAY RECAP を確認します。