RE:TERNAL

ملاحظة: لا يزال قيد التطوير، استخدم للاختبار فقط ولا تعرض الواجهات! لا يعمل compose الحالي بعد، جرب فقط إذا كنت تعرف ما تفعله

ري:تيرنال هي خدمة تنسيق مركزية لفريق الأرجواني (Purple Team) لإدارة أطر C2 الخارجية. يتم تثبيت الوكلاء (Agents) على نقاط النهاية لتنفيذ تقنيات مختلفة معروفة في اختبار الاختراق (Red Teaming) لاختبار قدرات الفريق الأزرق (Blue Teaming). يتم تعيين المحاكيات إلى إطار MITRE ATT&CK. يحتوي هذا المستودع على ملف compose لإعداد منصة reternal عبر Docker.

يوجد معاينة عامة متاحة تعمل بأحدث إصدار على @ https://reternal.d3vzer0.com (يتطلب تسجيل دخول GitHub). تعطيل تنفيذ/حفظ الحملات والتفاعل مع وحدات C2 (لأسباب واضحة ;)).

مكونات ريترنال

Component	Description	Code	Build
API	API إداري لجدولة المهام
UI	نص بناء واجهة مستخدم مبنية على VueJS وخادم NGinx
C2	مهام موزعة للتفاعل مع أطر C2 الخارجية
Search	مهام موزعة لتنفيذ استعلامات بحث (مثل Splunk/Elasticsearch) لتقييم تغطية ATT&CK

Component	Description	Build
Total Stack	بناء للتحقق من المجموعة بأكملها عبر docker-compose في هذا المستودع	TODO

التثبيت والتكوين

يحتوي هذا المستودع على كتب تشغيل Ansible لأتمتة التثبيت والتكوين المحلي أو البعيد لـ Reternal. يمكن العثور على الدليل في Wiki المستودع على @ https://github.com/d3vzer0/reternal-quickstart/wiki.

المطورون والتواصل

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

ما قصة الاسم؟

تم إعادة تطوير هذا المشروع عدة مرات لدرجة أنه ربما لن يكتمل أبدًا. ومن هنا جاء RE (إعادة) و Ternal (أبدي).

شكر خاص

Rabobank DeTTECT - إطار عمل لتعيين تغطية السجلات الخاصة بك مقابل MITRE ATT&CK. تم استخدام الأساسيات لتقييم التغطية الداخلية واقتراحات السيناريوهات: https://github.com/rabobank-cdc/DeTTECT
MITRE ATT&CK - إطار العمل المستخدم لتعيين المحاكيات: https://attack.mitre.org/wiki/Main_Page
Uber Metta - استخدام قوالب Metta لتقنيات MITRE مع تعديلات صغيرة (اختيارية) على تنسيق purple_action: https://github.com/uber-common/metta
https://github.com/olafhartong/sysmon-modular - تطبيق Splunk مع استعلامات جاهزة للبحث عن الأحداث الضارة بناءً على Sysmon
https://www.splunksecurityessentials.com/ - تطبيق Splunk ضروري لتوسيع قدرات الكشف الحالية. يحلل التطبيق أنواع المصادر المتاحة ويقدم نصائح وحيل مناسبة لتحسين استخدام Splunk للصيد والكشف.

أمثلة ولقطات شاشة

سيتم توثيق جميع الميزات في صفحة الترحيب في Wiki على @ https://github.com/d3vzer0/reternal-quickstart/wiki. فيما يلي بعض الأمثلة على المكونات الرئيسية.

تعيين الجهات الفاعلة / التقنيات

يقوم ريترنال تلقائيًا بتعيين الأوامر والتقنيات المتاحة للجهات الفاعلة. يمكنك إضافة جميع التقنيات التي تستخدمها الجهات الفاعلة عادةً إلى مجموعة المهام الخاصة بك. actor_mapping

منشئ الوصفات / الرسوم البيانية

جدولة المهام لتنفيذها على وكيل تسمى رسمًا بيانيًا. يمكنك إضافة أوامر يدوية إلى رسم بياني أو تحديد إحدى التقنيات المُعيَّنة أو TTPs الخاصة بالجهات الفاعلة. يمكنك السحب والإفلات لتغيير ترتيب المهام في الرسم البياني الخاص بك.

التفاعل مع C2

يعمل ريترنال كوسيط ويتفاعل مع أطر C2 الخارجية. يظهر مثال أدناه كيف يدير ريترنال المستمعين الخارجيين ويولد الأدوات التمهيدية (stagers). actor_mapping

تقييم التغطية (استنادًا إلى Rabo DeTTECT)

مزامنة مصادر البيانات المتاحة تلقائيًا مع بيئة Splunk الخاصة بك أو إضافة مصادر سجلات يدويًا. سيقترح ريترنال حملات محددة لتنفيذها بناءً على تقييم التغطية الخاص بك.

مع نظرة عامة على تغطيتك مقارنةً بجميع تقنيات ATT&CK: attck_archive

مطاردة مدمجة

بالإضافة إلى ذلك، يتم تضمين قائمة باستعلامات Splunk للتحقق تلقائيًا من المحاكيات. قريبًا (tm) ستقوم الحملة المجدولة تلقائيًا بتشغيل الاستعلامات ذات الصلة وتقديم تقرير مفصل يحتوي على النتائج (مثل وقت تنفيذ الهجوم مقابل وقت الاكتشاف وما إلى ذلك).

حالة الحملة ولوحة القيادة

تعرض لوحة القيادة الرئيسية حالة حملاتك الجارية وتعرض التغطية المتوقعة لمصادر البيانات مقابل التقنيات.

reternal-quickstart

الأكثر شعبية