セキュリティー自動化の実装

手順

1. ansible-galaxy コマンドを使用して acl_manager ロールをインストールします。

   $ ansible-galaxy install ansible_security.acl_manager

2. 新しい Playbook を作成し、以下のパラメーターを設定します。たとえば、送信元オブジェクト、宛先オブジェクト、2 つのオブジェクト間のアクセスルール、および管理している実際のファイアウォール (Check Point など) です。

   - name: block IP address
     hosts: checkpoint
     connection: httpapi
   
     tasks:
       - include_role:
           name: acl_manager
           tasks_from: block_ip
         vars:
           source_ip: 172.17.13.98
           destination_ip: 192.168.0.10
           ansible_network_os: checkpoint

   Copy to Clipboard Toggle word wrap

3. Playbook を実行します ($ ansible-navigator run --ee false <playbook.yml>)。

   

   View larger image

   

手順

1. ansible-galaxy コマンドを使用して acl_manager ロールをインストールします。

   $ ansible-galaxy install ansible_security.acl_manager

2. CLI を使用して、acl_manger ロールで新規 Playbook を作成し、パラメーター (例: ソースオブジェクト、宛先オブジェクト、2 つのオブジェクト間のアクセスルール) を設定します。

   - name: delete block list entry
     hosts: checkpoint
     connection: httpapi
   
       - include_role:
           name: acl_manager
           Tasks_from: unblock_ip
         vars:
           source_ip: 192.168.0.10
           destination_ip: 192.168.0.11
           ansible_network_os: checkpoint

   Copy to Clipboard Toggle word wrap

3. Playbook $ ansible-navigator run --ee false <playbook.yml> を実行します。

   

   View larger image

   

手順

1. sudo を使用して snort を呼び出し、バージョンを尋ねます。

     $ sudo snort --version
   
      ,,_     -*> Snort! <*-
     o"  )~   Version 2.9.13 GRE (Build 15013)
     ""    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
           Copyright (C) 2014-2019 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using libpcap version 1.5.3
           Using PCRE version: 8.32 2012-11-30
           Using ZLIB version: 1.2.7

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを使用して、サービスがアクティブに実行されていることを確認します。

   sudo systemctl:

   $ sudo systemctl status snort
   ● snort.service - Snort service
      Loaded: loaded (/etc/systemd/system/snort.service; enabled; vendor preset: disabled)
      Active: active (running) since Mon 2019-08-26 17:06:10 UTC; 1s ago
     Main PID: 17217 (snort)
      CGroup: /system.slice/snort.service
              └─17217 /usr/sbin/snort -u root -g root -c /etc/snort/snort.conf -i eth0 -p -R 1 --pid-path=/var/run/snort --no-interface-pidfile --nolock-pidfile
   [...]

   Copy to Clipboard Toggle word wrap
3. Snort サービスの実行がアクティブでない場合は、systemctl restart snort で再起動し、ステータスを再度確認します。
4. サービスがアクティブに実行されていることを確認したら、CTRL と D を同時に押すか、コマンドラインで exit と入力して Snort サーバーを終了します。以降のすべてのやり取りは、Ansible コントロールホストから Ansible Automation Platform を通じて実行されます。

手順

1. ansible-galaxy コマンドを使用して ids_rule ロールをインストールします。

   $ ansible-galaxy install ansible_security.ids_rule

2. add_snort_rule.yml という名前の新しい Playbook ファイルを作成します。以下のパラメーターを設定します。

   - name: Add Snort rule
     hosts: snort

   Copy to Clipboard Toggle word wrap

3. become フラグを追加して、Ansible が権限昇格を処理するようにします。

   - name: Add Snort rule
     hosts: snort
     become: true

   Copy to Clipboard Toggle word wrap

4. 以下の変数を追加して IDPS プロバイダーの名前を指定します。

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort

   Copy to Clipboard Toggle word wrap

5. 次のタスクとタスク固有の変数 (ルール、Snort ルールファイル、ルールの状態 (存在または不在) など) を Playbook に追加します。

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort
   
     tasks:
       -  name: Add snort password attack rule
          include_role:
            name: "ansible_security.ids_rule"
          vars:
            ids_rule: 'alert tcp any any -> any any (msg:"Attempted /etc/passwd Attack"; uricontent:"/etc/passwd"; classtype:attempted-user; sid:99000004; priority:1; rev:1;)'
            ids_rules_file: '/etc/snort/rules/local.rules'
            ids_rule_state: present

   Copy to Clipboard Toggle word wrap

   タスクは、ターゲットマシンに変更を加えるコンポーネントです。このようなタスクを定義するロールを使用しているため、必要となるエントリーは include_role のみです。

   ids_rules_file 変数は local.rules ファイルに定義された場所を指定し、ids_rule_state 変数は、ルールが存在しない場合には作成する必要があることを示しています。

6. 以下のコマンドを実行して Playbook を実行します。

   $ ansible-navigator run add_snort_rule.ym --mode stdout

   Playbook が実行されると、新しく作成されたルールに加えて、すべてのタスクが実行されます。Playbook の出力により、PLAY、TASK、RUNNING HANDLER、および PLAY RECAP が確認されます。

1. プロジェクトの同期を実行して、最新の Playbook が利用可能であることを確認します。並行して、インベントリー同期を実行し、ターゲットホストの最新リストが利用可能であることを確認します。

2. 各ターゲットホストのスナップショットを取得します。

   1. スナップショットタスクが失敗した場合は、関連情報を記載したチケットを送信します。

3. 各ターゲットホストにパッチを適用します。

   1. パッチ適用タスクが失敗した場合は、スナップショットを復元し、関連情報を記載したチケットを送信します。
4. パッチ適用タスクが成功した各スナップショットを削除します。