2.2. Ansible을 사용하여 IDPS 규칙 자동화

프로세스

1. ansible-galaxy 명령을 사용하여 ids_rule 역할을 설치합니다.

   $ ansible-galaxy install ansible_security.ids_rule

   Copy to Clipboard Toggle word wrap

2. add_snort_rule.yml 이라는 새 플레이북 파일을 만듭니다. 다음 매개변수를 설정합니다.

   - name: Add Snort rule
     hosts: snort

   Copy to Clipboard Toggle word wrap

3. become 플래그를 추가하여 Ansible이 권한 에스컬레이션을 처리하도록 합니다.

   - name: Add Snort rule
     hosts: snort
     become: true

   Copy to Clipboard Toggle word wrap

4. 다음 변수를 추가하여 IDPS 공급자의 이름을 지정합니다.

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort

   Copy to Clipboard Toggle word wrap

5. 다음 작업 및 작업별 변수(예: 규칙, Snort 규칙 파일, 규칙 상태)를 플레이북에 추가합니다.

   - name: Add Snort rule
     hosts: snort
     become: true
   
     vars:
       ids_provider: snort
   
     tasks:
       -  name: Add snort password attack rule
          include_role:
            name: "ansible_security.ids_rule"
          vars:
            ids_rule: 'alert tcp any any -> any any (msg:"Attempted /etc/passwd Attack"; uricontent:"/etc/passwd"; classtype:attempted-user; sid:99000004; priority:1; rev:1;)'
            ids_rules_file: '/etc/snort/rules/local.rules'
            ids_rule_state: present

   Copy to Clipboard Toggle word wrap

   작업은 대상 시스템을 변경하는 구성 요소입니다. 이러한 작업을 정의하는 역할을 사용하므로 include_role 은 필요한 유일한 항목입니다.

   ids_rules_file 변수는 local.rules 파일에 대해 정의된 위치를 지정하는 반면 ids_rule_state 변수는 규칙이 아직 존재하지 않는 경우 규칙을 생성해야 함을 나타냅니다.

6. 다음 명령을 실행하여 플레이북을 실행합니다.

   $ ansible-navigator run add_snort_rule.ym --mode stdout

   Copy to Clipboard Toggle word wrap

   플레이북을 실행하면 새로 생성된 규칙 외에도 모든 작업이 실행됩니다. 플레이북 출력은 PLAY, TASK, RUNNING HANDLER 및 PLAY RECAP을 확인합니다.