S4 MockAPI
安全 API 模拟器
何时收回成本？
回收周期取决于成本项目和替换范围
该产品的回收周期取决于您当前的 AWS 支出、替换范围和运行环境。请使用账单模拟器识别匹配的成本项目并获取粗略节省估算。
像真实安全产品 API 一样响应的 mock server。无需产品许可证即可构建和测试 SIEM/SOAR 集成：兼容 Trend Micro Vision One、Palo Alto Networks PAN-OS、Microsoft Sentinel 和 CrowdStrike Falcon 的 profile，以及面向任意 OpenAPI 3.x 文档的通用 mock。附带 MITRE ATT&CK 场景库和 Terraform 模块。
S4 MockAPI 仅基于公开 API 文档重构并复现安全产品 API 的“形状” — 状态码、header、认证流程、pagination、rate-limit 和 error body。所有数据均为合成数据。Vision One 兼容（公开 API v3.0）：带 ETag/If-Match 流程的 workbench alerts、endpoint inventory、endpoint-activity search、OAT detections，以及带真实任务生命周期的 isolate/restore response actions（207 Multi-Status）。PAN-OS 兼容（11.x 时代 XML API）：keygen 认证、op 命令、有状态 candidate-config CRUD、commit job lifecycle。Microsoft Sentinel 兼容：Azure AD OAuth2 client_credentials token、Log Analytics `/v1/workspaces/{id}/query` 上的 KQL 子集（where / take / limit / project / count），覆盖 7 个种子表；Sentinel Incidents CRUD（ETag/If-Match）；`entities/{id}/expand` 返回 3 节点图；`runPlaybook` LRO 轮询。CrowdStrike Falcon 兼容：`POST /oauth2/token`（client_credentials → 不透明 bearer）、Detects / Devices / Real Time Response、`contain / lift_containment` 的有状态反映、Falcon Query Language 的 filter 子集。附带 MITRE ATT&CK 场景库（10 种）、Terraform 模块和每 profile 的 Postman 集合。
面临挑战
构建和测试 SIEM/SOAR 集成意味着需要调用真实的安全产品 API（如 Trend Micro Vision One、Palo Alto PAN-OS、Microsoft Sentinel、CrowdStrike Falcon），但其许可证价格昂贵且数量有限，极少有空闲的沙箱可用于开发。您无法将 CI 指向生产环境的安全工具，且诸如错误和限流等失败路径也难以按需重现。因此，集成代码往往测试不充分，第一次在生产环境中运行时就会发生崩溃。
工作原理
- 1
启动 AMI，选择配置文件
启动 AMI 后，兼容 Vision One 的配置默认在 :8080 端口启动，可通过一个环境文件切换到 PAN-OS、Microsoft Sentinel、CrowdStrike Falcon 或通用 OpenAPI 配置。使用自带的 Terraform 模块（`s4-mockapi-aws`）可默认以 IMDSv2 强制、加密根卷、admin 端口仅实例内可达的安全默认值进行部署。
- 2
将您的集成指向模拟服务
只需将您的连接器或流水线从真实 API 重新指向模拟服务的端点，即可在没有产品许可证的情况下，获取真实的状态码、请求头、身份验证流程和分页信息。
- 3
注入故障，然后重置
通过 TOML 场景确定性地注入故障（例如第 n 次调用时返回 500、带有 Retry-After 的 429 限流或延迟），然后通过一次 API 调用恢复出厂设置，以便从初始状态重新运行。
产品亮点
四个厂商忠实 profile（Vision One / PAN-OS / Sentinel / CrowdStrike）加上通用 OpenAPI 3.x mock — 一台 AMI 覆盖你的集成测试面。
MITRE ATT&CK 场景库（10 种：ransomware T1486、credential stuffing、lateral movement、C2、data exfiltration 等）加上确定性 fault injection — 在 CI 中重现 IR 级别的 API 负载与失败路径。
包含 Terraform 模块（`s4-mockapi-aws`）和每 profile 的 Postman 集合；不到一分钟即可启动可用 mock，一次 API 调用即可 factory reset，没有任何数据离开 instance。
包含内容
- 兼容 Trend Micro Vision One 的 REST 配置文件（公开 API v3.0）：支持带有 ETag/If-Match 流程的工作台告警、终端清单、终端活动搜索、OAT 检测，以及包含真实任务生命周期（含 207 Multi-Status）的隔离/恢复响应操作。
- 兼容 Palo Alto Networks PAN-OS 的 XML API 配置文件（11.x 版本）：支持 keygen 认证、op 命令、有状态候选配置的 CRUD、commit 任务生命周期以及异步日志获取。
- Microsoft Sentinel 兼容配置：Azure AD OAuth2 client_credentials token，Log Analytics `/v1/workspaces/{id}/query` 上的 KQL 子集（where / take / limit / project / count），覆盖 7 张种子表（SecurityAlert / SecurityIncident / SigninLogs / Heartbeat / AuditLogs / AzureActivity / SecurityEvent）；Sentinel Incidents CRUD（ETag/If-Match）及其评论；`entities/{id}/expand` 返回 3 节点图；`runPlaybook` LRO 轮询。
- CrowdStrike Falcon 兼容配置：`POST /oauth2/token`（client_credentials → 带 `expires_in` 的不透明 bearer）和 `POST /oauth2/revoke`；Detects 的 `GET /queries/detects/v1` + `POST /entities/summaries/GET/v1` + 有状态的 `PATCH /entities/detects/v2`；Devices 的 queries + summaries + `contain / lift_containment` 有状态地反映到 `containment_status`；Real Time Response 的 session / execute / status 生命周期（queued → executing → completed）；`filter=` 的 Falcon Query Language 子集。
- 通用 OpenAPI 3.x 模拟服务：输入任何 OpenAPI 文档，其中记录的每个操作都将基于其示例和 Schema 自动生成并提供响应。
- 根据公开文档真实再现状态码、请求头、验证流程、分页、限流和错误体，并在 CI 中强制执行 Schema 一致性验证。
- 确定性故障注入：支持第 n 次调用的 500 错误、带 Retry-After 的概率性 429 错误以及延迟注入，使失败路径测试可重现。
- 支持单次调用 API 恢复出厂设置（POST /reset），并支持通过种子文件覆盖，使您自己的演示数据成为出厂状态。
- 附带 MITRE ATT&CK 场景库（10 种）、Terraform 模块（`s4-mockapi-aws`）以及每 profile 的 Postman 集合：ransomware 响应（T1486）、credential stuffing（T1110.004）、lateral movement（TA0008）、data exfiltration（TA0010）、C2 检测（T1071 / T1573）、phishing（T1566）、insider threat、persistence hunt、EDR 一键隔离、Sentinel incident 分诊演练等。
- 完全离线运行：状态仅保留在内存中，实例不发起任何外向调用，且任何内容都无法离开该实例。
适用场景
在无需真实设备的情况下，针对 Vision One、PAN-OS、Microsoft Sentinel、CrowdStrike Falcon 或任何 OpenAPI API 开发 SIEM/SOAR 连接器和流水线。
利用确定性故障注入和重置，在 CI 中可重现地测试 500 错误、限流和延迟等失败路径。
安全地运行合作伙伴演示和内部培训，而无需接触生产环境的安全产品。
在分配产品许可证之前，将其用作工程师学习 API 集成的引导环境。
作为 MSSP 实验室或 SOC 集成 QA harness：反复重放 MITRE ATT&CK 形态的场景（ransomware / lateral movement / C2 / 数据泄露 等），演练真实 IR 工作和 Sentinel incident triage 中的 API 负载与失败模式。
常见问题
这返回的是真实的厂商数据吗？
不是。所有返回的数据都是合成数据，仅重现了根据公开文档重构的 API 结构（兼容形状）。Trend Micro、Vision One、Palo Alto Networks、PAN-OS、Microsoft、Sentinel、CrowdStrike 和 Falcon 是用于指代兼容目标的商标；本产品与这些厂商没有关联，也没有获得其背书。
我可以在 CI 中使用它吗？
是的，它专为 CI 设计。通过 TOML 场景进行的确定性故障注入（第 n 次调用的 500 错误、带 Retry-After 的 429 错误、延迟）可重现失败路径，而在各次运行之间，可通过 POST /reset 将其恢复到出厂状态，从而确保每次测试都从相同的基线开始。
会有任何数据离开实例吗？
不会。它在您自己的 VPC 内完全离线运行。状态仅保留在内存中，实例不会发起外向调用，合成数据也绝不会离开实例。
支持哪些 API？
共有五种：兼容 Trend Micro Vision One 的 REST 结构（公开 API v3.0）、兼容 Palo Alto Networks PAN-OS 的 XML API 结构（11.x 版本）、Microsoft Sentinel 兼容（Azure AD OAuth2、Log Analytics 上的 KQL 子集、Sentinel Incidents、`runPlaybook` LRO）、CrowdStrike Falcon 兼容（OAuth2 client_credentials、Detects / Devices / Real Time Response、`filter=` 的 FQL 子集），以及可通过输入 OpenAPI 3.x 文档来重现任何 REST API 的通用模拟服务。
部署和启动需要多长时间？
它在不到一分钟的时间内即可启动为可工作的模拟服务。AMI 启动后会自动在 :8080 端口运行兼容 Vision One 的配置文件，使用像 t3.micro 这样的小型实例就足够运行了。
为什么更便宜
假设一个开发团队运行 SIEM/SOAR 集成测试和 CI, 需要 3 个厂商安全 API (Vision One、PAN-OS、CrowdStrike Falcon)。
- Vision One Sandbox 许可证
- $1,200 / 月
- PAN-OS Dev 许可证
- $1,500 / 月
- CrowdStrike Falcon Dev 许可证
- $800 / 月
- 月度合计
- $3,500 / 月
- S4 MockAPI 实例 (t3.medium + 软件费)
- $80 / 月
- 月度合计
- $80 / 月
按目标 API 数量选择 S4 MockAPI 实例
| Mock 的 API 数 | 推荐实例 | S4 MockAPI 实例费用 | 月度合计对比真实许可证 |
|---|---|---|---|
| 1 个产品 | t3.small | $40 / 月 | $40 / 月 (许可证 $1,200, −97%) |
| 3 个产品 | t3.medium | $80 / 月 | $80 / 月 (许可证 $3,500, −98%) |
| 10+ 个产品 | m5.large | $120 / 月 | $120 / 月 (许可证 $12,000, −99%) |
仅供参考。真实许可证成本基于厂商 dev / sandbox 价格估算 ($800–$1,500/月) 取中位值 (实际价格因合同和席位而异)。S4 MockAPI 适用于 dev / CI 环境, staging 及以后应继续使用真实 API。不建议用于生产替换。
计费模式
按小时计费的软件费用 + EC2（覆盖广泛 instance type）。按 instance type 计量，无需 license key。
