Evident.ioでカスタムシグネチャを使って東京リージョン以外でのEC2インスタンス作成をチェックしてみた

Evident.ioには多数のビルトインシグネチャが存在しますが、ユーザーでルールを定義するカスタムシグネチャを作成することもできます。カスタムシグネチャを利用することで組織または環境固有のチェックルールを作成することができます。今回は東京リージョン以外でのEC2インスタンス作成をチェックするカスタムシグネチャを作成してみました。

セキュリティ製品特集

#Evident.io

#セキュリティ

#AWS

佐伯航

2018.08.06

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは佐伯です。最近暑すぎてリモートワーク頻度が高くなっています。夏の関東こんなに暑かったっけ...？

はじめに

サンプルコード

以下のGitHubリポジトリにサンプルコードがあります。今回はこちらのサンプルコードを使ってみたいと思います。

PaloAltoNetworks/evident-custom-signatures: Evident Security Platform Custom Signatures Samples

カスタムシグネチャはRubyとJavaScriptをサポートしています。以下にチュートリアルのドキュメントもありますので、必要に応じて参照ください。

やってみた

今回はサンプルコードの instances_nonpri_regions.rb を少し編集して、東京リージョン以外でEC2が起動されていた場合にアラートとするカスタムシグネチャを作ってみたいと思います。

カスタムシグネチャの作成

[Control Panel]->[Custom Signatures]->[New]をクリックします。

カスタムシグネチャの定義を行います。各項目任意の値でよいですが全ての外部アカウントをチェックするか、指定した外部アカウントをチェック対象とするかといった指定ができます。

[Submit]をクリックします。その後コードを入力する画面になりますので、サンプルコード instances_nonpri_regions.rb を以下の様に変更したコードを入力しました。

コード

configure do |c|
  c.deep_inspection = [:instance_id, :instance_state]
end

def perform(aws)
  region = aws.region

  if region == "ap-northeast-1"
    pass(message: "#{region} is priority region.")
  else
    resp = aws.ec2.describe_instances(filters:[ {name: "instance-state-name", values: ["running", "stopped"] }]).reservations
    resp.each do |resv|
      resv.instances.each do |inst|
        instance_id    = inst.instance_id
        instance_state = inst.state.name
        set_data(instance_id: instance_id, instance_state: instance_state)
        fail(message: "#{instance_id} is #{instance_state} in region, #{region}.", resource_id: instance_id)
      end
    end
  end
end

サンプルコードとの差分

c.valid_regions の行を削除して全てのリージョンに対してチェックを行い、東京リージョン(ap-northeast-1)であればpass、それ以外のリージョンにEC2インスタンスが存在(ステータスがrunning or stoppedのEC2インスタンス)していればfailという感じです。

$ git diff
diff --git a/AWS/sample_codes/AWS_EC2 - instances_nonpri_regions.rb b/AWS/sample_codes/AWS_EC2 - instances_nonpri_regions.rb
index 28288bc..e4ab27f 100644
--- a/AWS/sample_codes/AWS_EC2 - instances_nonpri_regions.rb
+++ b/AWS/sample_codes/AWS_EC2 - instances_nonpri_regions.rb
@@ -31,16 +31,15 @@
 #

 configure do |c|
-  c.valid_regions   = [:eu_west_1, :ap_northeast_1]
   c.deep_inspection = [:instance_id, :instance_state]
 end

 def perform(aws)
   region = aws.region
-  resp   = aws.ec2.describe_instances(filters:[ {name: "instance-state-name", values: ["running", "stopped"] }]).reservations
-  if resp.empty?
-      pass(message: "No instances found in region, #{region}.")
+  if region == "ap-northeast-1"
+    pass(message: "#{region} is priority region.")
   else
+    resp = aws.ec2.describe_instances(filters:[ {name: "instance-state-name", values: ["running", "stopped"] }]).reservations
     resp.each do |resv|
       resv.instances.each do |inst|
         instance_id    = inst.instance_id

[Test Code]でリージョンと外部アカウントを選択してカスタムシグネチャをテストできます。今回は東京リージョンにEC2インスタンスを作成してpassになること、バージニアリージョンにEC2インスタンスを作成してfailになることを確認しました。[Save]で保存後、[Active]でカスタムシグネチャを有効化します。