ids_rule

テクニカルプレビュー

さまざまな侵入検知システムのルールとシグネチャを管理するための役割です。これらはロールに「プロバイダー」として定義されています。

現在サポートされているプロバイダーのリスト：

• snort

要件

Red Hat Enterprise Linux 7.x、またはCentOS 7、Scientific Linux 7などの派生Linuxディストリビューション

• idstools

ロール変数

• ids_provider - どのIDSプロバイダーを使用するかを定義します（デフォルト値: "snort"）
• ids_rule - 管理セットに追加または削除したいルール
• ids_rule_state - present または absent のいずれかである必要があります
• ids_rules_file - 管理するルールファイル（デフォルト: /etc/snort/rules/local.rules）

依存関係

依存関係はプロバイダーによって異なります

snortの依存関係

例示的なプレイブック

- name: snortルールを管理する
  hosts: idshosts
  become: yes
  become_user: root
  gather_facts: false

  vars:
    ids_provider: snort
    protocol: tcp
    source_port: any
    source_ip: any
    dest_port: any
    dest_ip: any

  tasks:
    - name: snortのパスワード攻撃ルールを追加
      include_role:
        name: "ids_rule"
      vars:
        ids_rule: 'alert {{protocol}} {{source_ip}} {{source_port}} -> {{dest_ip}} {{dest_port}}  (msg:"/etc/passwd攻撃の試行"; uricontent:"/etc/passwd"; classtype:attempted-user; sid:99000004; priority:1; rev:1;)'
        ids_rules_file: '/etc/snort/rules/local.rules'
        ids_rule_state: present

ライセンス

GPLv3

著者情報

Ansibleセキュリティ自動化チーム