2.2. Ansible を使用した IDPS ルールの自動化

手順

1. ansible-galaxy コマンドを使用して ids_rule ロールをインストールします。

   $ ansible-galaxy install ansible_security.ids_rule

   Copy to Clipboard Toggle word wrap

2. add_snort_rule.yml という名前の新しい Playbook ファイルを作成します。以下のパラメーターを設定します。

   - name: Add Snort rule
     hosts: snort

   Copy to Clipboard Toggle word wrap

3. become フラグを追加して、Ansible が権限昇格を処理するようにします。

   - name: Add Snort rule
     hosts: snort
     become: true

   Copy to Clipboard Toggle word wrap

4. 以下の変数を追加して IDPS プロバイダーの名前を指定します。

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort

   Copy to Clipboard Toggle word wrap

5. Playbook に、以下のタスクおよびタスク固有の変数 (例: ルール、ルール、Snort ルールファイル、およびルールがない状態) を追加します。

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort
   
     tasks:
       -  name: Add snort password attack rule
          include_role:
            name: "ansible_security.ids_rule"
          vars:
            ids_rule: 'alert tcp any any -> any any (msg:"Attempted /etc/passwd Attack"; uricontent:"/etc/passwd"; classtype:attempted-user; sid:99000004; priority:1; rev:1;)'
            ids_rules_file: '/etc/snort/rules/local.rules'
            ids_rule_state: present

   Copy to Clipboard Toggle word wrap

   タスクは、ターゲットマシンに変更を加えるコンポーネントです。このようなタスクを定義するロールを使用しているため、必要となるエントリーは include_role のみです。

   ids_rules_file 変数は local.rules ファイルに定義された場所を指定し、ids_rule_state 変数は、ルールが存在しない場合には作成する必要があることを示しています。

6. 以下のコマンドを実行して Playbook を実行します。

   $ ansible-navigator run add_snort_rule.ym --mode stdout

   Copy to Clipboard Toggle word wrap

   Playbook を実行すると、新規作成したルールに加えて、すべてのタスクが実行します。Playbook の出力では、PLAY、TASK、RUNNING HANDLER、PLAY RECAP を確認します。