RedEye: تصور سجلات القيادة والتحكم للفريق الأحمر

⚠️ هذا المستودع حالياً في وضع الصيانة ⚠️

لم يعد هذا المستودع على GitHub قيد التطوير النشط. سنراجع المشكلات وطلبات السحب من المجتمع لإصلاح الأخطاء، لكننا لن ننظر في أي إضافات ميزات جديدة.

RedEye هي أداة تحليلية مفتوحة المصدر طورتها CISA و DOE التابع لـ مختبر شمال غرب المحيط الهادئ الوطني لمساعدة الفرق الحمراء في تصور أنشطة القيادة والتحكم والإبلاغ عنها. تسمح هذه الأداة للمشغل بتقييم وعرض البيانات المعقدة، وتقييم استراتيجيات التخفيف، وتمكين اتخاذ القرارات الفعالة استجابةً لتقييم الفريق الأحمر. تقوم الأداة بتحليل السجلات، مثل تلك الواردة من Cobalt Strike، وتقديم البيانات بتنسيق سهل الفهم. يمكن للمستخدمين بعد ذلك وضع علامات وإضافة تعليقات على الأنشطة المعروضة داخل الأداة. يمكن للمشغلين استخدام وضع العرض التقديمي الخاص بـ RedEye لعرض النتائج وسير العمل لأصحاب المصلحة.

يمكن لـ RedEye مساعدة المشغل في:

• إعادة عرض وإظهار أنشطة تقييم الفريق الأحمر كما حدثت بدلاً من الغوص يدوياً في آلاف السطور من نصوص السجل.
• عرض وتقييم بيانات التقييم المعقدة لتمكين اتخاذ القرارات الفعالة.
• الحصول على فهم أوضح لمسار الهجوم المتخذ والمضيفين المخترقين أثناء تقييم الفريق الأحمر أو اختبار الاختراق.

الفريق الأحمر	الفريق الأزرق

بداية سريعة

1. قم بتنزيل أحدث ملفات RedEye الثنائية لنظام التشغيل لديك* من صفحة الإصدارات.
2. اختر وضعاً و قم بتشغيل الخادم
   • وضع الفريق الأحمر يتيح مجموعة الميزات الكاملة: تحميل سجلات C2، استكشاف البيانات، وإنشاء العروض التقديمية. يجب عليك تقديم كلمة مرور لتشغيل وضع الفريق الأحمر. لبدء تشغيل الخادم في وضع الفريق الأحمر، قم بتشغيل ما يلي في محطة طرفية.
     root@kitploit:~

     ./RedEye --redTeam --password <your_password>
     

   • وضع الفريق الأزرق (الافتراضي) يتيح واجهة مستخدم مبسطة للقراءة فقط لمراجعة الحملات التي صدرها الفريق الأحمر. لبدء تشغيل الخادم في وضع الفريق الأزرق، قم بتشغيل ما يلي في محطة طرفية.
     root@kitploit:~

     ./RedEye   # Or simplify double-click the "RedEye" executable 
     

3. استخدم تطبيق الويب في متصفح على http://127.0.0.1:4000. يتم تشغيل ملف RedEye الثنائي كخادم في نافذة طرفية وسيفتح تلقائياً واجهة مستخدم تطبيق الويب في متصفحك الافتراضي. يجب عليك إغلاق نافذة الطرفية لإيقاف خادم RedEye.
4. جرب استيراد مجموعة البيانات النموذجية gt.redeye للبدء. أو جرب مجموعة بيانات نموذجية مختلفة.

مشكلة macOS - عند تشغيل RedEye لأول مرة، قد تحصل على خطأ "غير موثق". يجب عليك الذهاب إلى "تفضيلات النظام" > "الأمان والخصوصية" > "عام" والنقر على "فتح على أي حال". مزيد من المعلومات في صفحة دعم Apple.

اتبع دليل المستخدم لتعرف مجموعة ميزات RedEye.

أوضاع الفريق الأحمر والفريق الأزرق

RedEye لديها وضعان يغطيان مرحلتين من عملية الفريق الأحمر. وضع الفريق الأحمر يسمح باستيراد بيانات C2، وتحرير البيانات المستوردة، وإضافة التعليقات والعروض التقديمية. بعد تنظيم ووضع تعليقات توضيحية على بيانات الحملة، يمكن للفرق الحمراء تصدير حملتهم كملف .redeye مستقل وتسليمه لفريق أزرق لأغراض الإبلاغ والمعالجة. وضع الفريق الأزرق يقوم بتشغيل RedEye في وضع مبسط للقراءة فقط لعرض البيانات المنظمة التي صدرها فريق أحمر.

ملاحظة: يمكن تشغيل كل من وضعي الفريق الأحمر والفريق الأزرق من نفس الملف الثنائي لتطبيق RedEye.

الفريق الأحمر

يتكون الملف الثنائي الذي تم تنزيله من جزأين:

• الملف الثنائي لتطبيق RedEye
• مجلد parsers الذي يحتوي على ملفات ثنائية للمحللات (مثل cobalt-strike-parser محلل سجلات Cobalt Strike الثنائي)

هناك ثلاثة خيارات لتشغيل RedEye في وضع الفريق الأحمر:

1. تشغيل الملف الثنائي الذي تم تنزيله، مع تمرير خيارات --redTeam وكلمة المرور:
   root@kitploit:~

   ./RedEye --redTeam --password <your_password>
   

2. استنساخ وتثبيت وتشغيل المشروع مباشرة (مغطى في قسم البناء المحلي).
3. Docker Compose
   1. استنساخ المستودع
   2. تحديث متغيرات البيئة في ملف docker-compose.yml.
   3. تشغيل:
      root@kitploit:~

      docker-compose -f docker-compose.yml up -d redeye-core
      

الفريق الأزرق

وضع الفريق الأزرق هو واجهة مستخدم مبسطة للقراءة فقط لعرض البيانات التي تم تنظيمها ووضع تعليقات عليها وتصديرها بواسطة فريق أحمر. يعمل هذا الوضع افتراضياً لجعل بدء التشغيل أكثر سهولة للفريق الأزرق.

يمكن تشغيل إصدار الفريق الأزرق بالنقر المزدوج على الملف الثنائي لتطبيق 'RedEye'. يعمل RedEye على http://127.0.0.1:4000 (افتراضياً) وسيفتح تلقائياً متصفحك الافتراضي.

تسليم عرض الفريق الأزرق

إذا كان مجلد campaigns موجوداً في نفس دليل تطبيق RedEye، فسيحاول RedEye استيراد أي ملفات حملة .redeye بداخله. يمكن تصدير ملفات الحملة في وضع الفريق الأحمر.

لتحضير إصدار للفريق الأزرق، اتبع هاتين الخطوتين:

1. انسخ الملف الثنائي لتطبيق RedEye إلى مجلد فارغ.
2. أنشئ مجلد campaigns في نفس الدليل وضع ملفات الحملة .redeye التي تريد إرسالها داخله.

Folder/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

يمكن أيضاً تحميل ملفات .redeye في وضع الفريق الأزرق من خلال حوار "+ إضافة حملة".

مجموعات البيانات النموذجية

توجد مجموعات بيانات نموذجية في هذا المستودع متاحة للتنزيل. وهي موجودة في مجلد ./applications/redeye-e2e/src/fixtures.

• gtdataset - متاح كـ gt.redeye وكـ سجلات Cobalt Strike
• smalldata - متاح كـ smalldata.redeye وكـ سجلات Cobalt Strike
• testdata - متاح كـ سجلات Cobalt Strike

قد ترغب في استخدام أداة مثل download-directory.github.io لتنزيل مجلد واحد فقط من مستودع github

معلمات خادم RedEye

اكتب ./Redeye -h لعرض الخيارات

-d, --developmentMode [boolean]  put the database and server in development mode
-r, --redTeam [boolean]          run the server in red team mode
--port [number]                  the port the server should be exposed at
-p, --password [string]          the password for user authentication
--parsers [string...]            A list of parsers to use or a flag to use all parsers in the parsers folder
-t, --childProcesses [number]    max # of child processes the parser can use
-h, --help                       display help for command

يمكنك أيضاً تكوين معلمات الخادم في ملف config.json الموجود بجانب الملف الثنائي RedEye

{
	"password": "937038570",
	"redTeam": true,
	"parsers": ["cobalt-strike-parser", "brute-ratel-parser"] // or true/false
}

بناء محلي

الحزم المطلوبة

• Node.js >= v16
• تثبيت yarn: npm install -g yarn
• تشغيل: yarn install // يقوم بتثبيت جميع الحزم
• تشغيل أحد الأمرين:
  1. yarn release:all لبناء ملف ثنائي لأنظمة Linux وmacOS وWindows
  2. yarn release:(mac|windows|linux) .
• خيارات النظام الأساسي:
  • mac
  • windows
  • linux

التطوير

الإعداد

قم بتثبيت Node.js >= v16 قم بتثبيت yarn بشكل عام عبر npm

npm install -g yarn

تثبيت تبعيات الحزمة

yarn install

تطوير البدء السريع

تشغيل المشروع في وضع التطوير

yarn start

تطوير متقدم

يوصى بتشغيل الخادم والعميل في محطتين منفصلتين

yarn start:client

...في محطة أخرى

yarn start:server

بناء

لبناء ملف ثنائي لأنظمة Linux وmacOS وWindows

yarn release:all

للبناء لنظام أساسي معين، استبدل all باسم النظام الأساسي

yarn release:(mac|windows|linux)

دعم الأنظمة الأساسية

• Linux
  • Ubuntu 18 والأحدث
  • Kali Linux 2020.1 والأحدث
  • قد تكون أنظمة أخرى مدعومة ولكن لم يتم اختبارها
• macOS
  • El Capitan والأحدث
• Windows
  • Windows 7 والأحدث
  • دعم ARM تجريبي