Dop2Mop

مُجمِّع OpenGraph لـ BloodHound الذي يرسم خريطة مسارات الهجوم من البنية التحتية لـ DevOps إلى MLOps، ويجمع موارد خط أنابيب CI/CD، ومدير الخدمة، ومنصة ML لتحليل الحركة الجانبية.

• جمع أساسي
• جمع منصة واحدة
• جمع منصات متعددة
• أمثلة جمع GitHub
• أمثلة جمع Azure DevOps
• أمثلة جمع Azure ML
• أمثلة جمع AWS SageMaker
• جمع البيئة الكاملة

شكر وتقدير

• SpecterOps من أجل BloodHound وOpenGraph

نظرة عامة

Dop2Mop يجمع البيانات من منصات DevOps وMLOps لتحديد مسارات الهجوم التي تتيح الحركة الجانبية من خطوط أنابيب CI/CD إلى بنية التدريب على التعلم الآلي. ينتج JSON بتنسيق OpenGraph المتوافق مع BloodHound للتصور والتحليل.

المنصات المدعومة

حدود الثقة المعيّنة

Dop2Mop يصمم حدود الثقة الخمسة الحرجة التي تم تحديدها في البحث:

1. TB1: مستودع الكود إلى خط أنابيب CI/CD - تفعيل خطوط الأنابيب تلقائياً من التزامات الكود
2. TB2: مصادقة الخدمة الأساسية - بيانات اعتماد NHI التي تستخدمها خطوط الأنابيب للوصول إلى منصات ML
3. TB3: ثقة القطع الأثرية للحاوية - ثقة ضمنية في صور الحاوية من السجلات الداخلية
4. TB4: تنفيذ تعريف المهمة - منصات ML تنفذ تعريفات المهام دون تحقق
5. TB5: إلغاء تسلسل الكود - إلغاء تسلسل غير آمن لمجموعات البيانات (pickle, joblib)

التثبيت```bash

git clone https://github.com/h4wkst3r/dop2mop.git cd dop2mop pip install -r requirements.txt pip install -e .

الاستيراد إلى BloodHound

1. افتح BloodHound CE (v8.0+)
2. انتقل إلى الإدارة ← استيراد الملفات
3. قم برفع ملف JSON المُنشأ
4. الاستعلام باستخدام Cypher:```cypher // Azure DevOps to Azure ML Lateral Movement MATCH p=(repo)-[:TriggersPipeline]->(pipeline)-[:UsesServiceConnection]->(svcconn)-[:AuthenticatesAs]->(workspace)-[:CodeExecution]->(compute) RETURN p

// Container Image Poisoning (Supply Chain Attack) MATCH p=(workflow)-[:CanPoisonImage]->(image)<-[:PullsImage]-(job) RETURN p

// OIDC/Federated Identity Abuse (confirmed edges) MATCH p=(workflow)-[:OIDCTrust]->(oidc)-[:CanAssumeRole]->(role)-[:SubmitsJob]->(job) RETURN p

// OIDC abuse including inferred paths MATCH p=(workflow)-[:OIDCTrust]->(oidc)-[:InferredCanAssumeRole]->(role) RETURN p

// Dataset Poisoning via Pickle Deserialization MATCH p=(workflow)-[:CanPoisonDataset]->(dataset)<-[:LoadsDataset]-(job) RETURN p

// Find repos with weak/no branch protection (TB1 exploitable) MATCH (repo)-[:BypassesProtection]->(repo) RETURN repo.name, repo.default_branch

// Find overprivileged SageMaker IAM roles MATCH (role:IAMRole) WHERE role.is_admin = true OR role.has_s3_full_access = true RETURN role.name, role.attached_policies

// Find SageMaker notebooks with root + internet access MATCH (nb:SMNotebook) WHERE nb.root_access = 'Enabled' AND nb.direct_internet_access = 'Enabled' RETURN nb.name, nb.status

// Find self-hosted ADO agent pools MATCH (agent:ADOAgent) WHERE agent.is_hosted = false RETURN agent.name, agent.pool_type

يتحقق Dop2Mop من هذه المواقع بالترتيب:

1. المسار المحدد بواسطة --config
2. dop2mop.yaml / dop2mop.yml / .dop2mop.yaml في الدليل الحالي
3. ~/.dop2mop.yaml

ملاحظة: dop2mop.yaml موجود في .gitignore لمنع إضافة بيانات الاعتماد عن طريق الخطأ. الملف النموذجي (dop2mop.yaml.example) آمن للإضافة.

انظر dop2mop.yaml.example لجميع الخيارات المتاحة مع التعليقات.

ترتيب الأولوية: وسيطات سطر الأوامر > ملف الإعداد > متغيرات البيئة.

التحقق من بيانات الاعتماد

اختبر بيانات الاعتماد قبل تشغيل مجموعة كاملة:```bash

Validate all configured collectors

dop2mop collect --validate -v

Validate specific collectors

dop2mop collect --validate --collectors github,sagemaker -v

مرجع واجهة سطر الأوامر

نظرة عامة على الأوامر```

dop2mop [options]

Commands: collect Collect data from DevOps/MLOps platforms demo Generate demo data with attack scenarios

الخيارات العامة

خيارات GitHub

خيارات Azure DevOps

خيارات Azure ML

خيارات AWS SageMaker

المجمعون المتوفرون

dop2mop demo

توليد بيانات تجريبية توضح سيناريوهات الهجوم الأربعة من البحث.```bash dop2mop demo [OPTIONS]

أمثلة استخدام CLI

المجموعة الأساسية```bash

Collect from all configured platforms (uses environment variables)

dop2mop collect -o output.json

Use a config file

dop2mop collect --config dop2mop.yaml -o output.json -v

Validate credentials first, then collect

dop2mop collect --validate -o output.json -v

Collect with verbose logging

dop2mop collect -o output.json -v

Collect with debug logging

dop2mop collect -o output.json --debug

Collect and compress to ZIP

dop2mop collect -o output.json --zip

Limit collection size

dop2mop collect --max-items 100 -o output.json

Skip secret enumeration

dop2mop collect --no-secrets -o output.json

مجموعة منصات متعددة```bash

GitHub + SageMaker

dop2mop collect --collectors github,sagemaker -o output.json -v

GitHub + Azure DevOps

dop2mop collect --collectors github,ado -o output.json -v

Azure DevOps + Azure ML (full Azure stack)

dop2mop collect --collectors ado,azureml -o azure.json -v

All collectors explicitly

dop2mop collect --collectors github,ado,azureml,sagemaker -o full.json -v

أمثلة مجموعة Azure DevOps```bash

Using environment variables

export AZURE_DEVOPS_TOKEN="your-pat" export AZURE_DEVOPS_ORG="your-org" dop2mop collect --collectors AzureDevOpsCollector -o ado.json -v

Using command-line arguments (PAT)

dop2mop collect --collectors AzureDevOpsCollector
--azure-devops-token your-pat
--azure-devops-org your-org
-o ado.json -v

Using access token (Bearer auth)

dop2mop collect --collectors AzureDevOpsCollector
--azure-devops-access-token eyJ0...
--azure-devops-org your-org
-o ado.json -v

ملاحظة: أولوية مصادقة Azure ML: رمز الوصول > مدير الخدمة > DefaultAzureCredential (az login). يمكن الحصول على رموز الوصول عبر az account get-access-token --resource https://management.azure.com/.

أمثلة مجموعة AWS SageMaker```bash

Using AWS profile (environment variable)

export AWS_PROFILE="your-profile" dop2mop collect --collectors SageMakerCollector -o sagemaker.json -v

Using AWS profile (command-line)

dop2mop collect --collectors SageMakerCollector
--aws-profile your-profile
-o sagemaker.json -v

Using access keys

dop2mop collect --collectors SageMakerCollector
--aws-access-key-id AKIAXXXXXXXXXXXXXXXX
--aws-secret-access-key xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
--aws-region us-east-1
-o sagemaker.json -v

Different AWS region

dop2mop collect --collectors SageMakerCollector
--aws-profile your-profile
--aws-region us-west-2
-o sagemaker.json -v

متغيرات البيئة

يمكن تعيين جميع خيارات سطر الأوامر عبر متغيرات البيئة:

الأولوية: وسائط CLI > ملف التكوين > متغيرات البيئة.

أنواع العقد

عقد DevOps

عقد MLOps

عقد الهوية

عقد الأصول

أنواع الحواف

حواف مسار الهجوم

الحواف المستنتجة

يتم إنشاء هذه الحواف بواسطة التحليل الاستدلالي عندما لا تتوفر بيانات API صريحة (مثل ARNs الأدوار المخزنة في الأسرار). تستخدم أنواع حواف مميزة حتى تتمكن من تصفيتها في استعلامات BloodHound.

الحواف الهيكلية

أمثلة الاستعلامات

راجع queries/dop2mop_queries.cypher للحصول على أمثلة شاملة للاستعلامات.

الرموز المخصصة

يتضمن Dop2Mop ملف رموز مسبق التكوين لأنواع العقد المخصصة لـ BloodHound في data/custom_icons.json.

تحميل الرموز إلى BloodHound

الخيار 1: مستكشف API (الأسهل)

1. افتح BloodHound CE وانتقل إلى الإعدادات ← مستكشف API
2. ابحث عن POST /api/v2/custom-nodes
3. انقر على "Try it out"
4. الصق محتويات custom_icons.json
5. انقر على "Execute"

الخيار 2: توثيق HMAC (موصى به للأتمتة)

أولاً، قم بإنشاء رمز API في BloodHound:

1. انتقل إلى الإعدادات ← الإدارة ← إدارة المستخدمين
2. انقر على مستخدمك ← إنشاء رمز
3. احفظ معرف الرمز ومفتاح الرمز

ثم استخدم هذا البرنامج النصي Python للتحميل:```python #!/usr/bin/env python3 """Upload custom icons to BloodHound CE using HMAC authentication."""

import base64 import hashlib import hmac import json from datetime import datetime, timezone import requests

Configuration

BLOODHOUND_URL = "http://localhost:8080" TOKEN_ID = "your-token-id" TOKEN_KEY = "your-token-key" ICONS_FILE = "custom_icons.json"

def hmac_auth(method: str, uri: str, body: bytes = b"") -> dict: """Generate HMAC authentication headers.""" digester = hmac.new( base64.b64decode(TOKEN_KEY), msg=None, digestmod=hashlib.sha256 )

def upload_icons(): """Upload custom icons to BloodHound.""" uri = "/api/v2/custom-nodes" url = f"{BLOODHOUND_URL}{uri}"

if name == "main": upload_icons()

Python API```python

from dop2mop import Dop2MopCollector, CollectorConfig

Configure collection

config = CollectorConfig( github_token="ghp_xxx", github_org="myorg", aws_profile="default", )

Validate credentials first

collector = Dop2MopCollector(config) results = collector.validate_all() print(results) # {'GitHubCollector': True, 'SageMakerCollector': True, ...}

Run collection (supports aliases)

collector.run(collectors=["github", "sm"])

Save output

collector.save("output.json")

Get statistics

print(collector.get_stats())

Get per-collector failure/skip details

print(collector.get_collection_summary())

بناء رسوم بيانية مخصصة```python

from dop2mop.graph import OpenGraphBuilder from dop2mop.models import NodeKind, EdgeType

builder = OpenGraphBuilder(source_kind="CustomSource")

Add nodes

builder.create_node( id="my-pipeline", kinds=[NodeKind.AZURE_DEVOPS_PIPELINE.value], name="My Pipeline", displayname="Production Pipeline", )

builder.create_node( id="my-ml-workspace", kinds=[NodeKind.AZURE_ML_WORKSPACE.value], name="ML Workspace", displayname="Training Workspace", )

Add edge

builder.create_edge( start_id="my-pipeline", end_id="my-ml-workspace", kind=EdgeType.SUBMITS_JOB, properties={"trust_boundary": "TB4"} )

Export

builder.save("custom_graph.json")

سيظهر الإخراج OK/FAILED لكل جامع قبل بدء أي تجميع.

ملخص التجميع

بعد كل تشغيل، يقوم Dop2Mop بطباعة ملخص يوضح ما تم جمعه وما فشل:```

Dop2Mop Collection Summary

Total Nodes: 142 DevOps: 45 MLOps: 38 Identity: 12 Artifact: 47

Total Edges: 201 Contains: 62 TriggersPipeline: 15 ...

──────────────────────────────────────────────────────── Collection Issues: GitHubCollector: 45 collected, 3 failed, 1 skipped FAIL: branch_protection:org/repo - 404 Not Found SKIP: branch_protection:org/private - Insufficient permissions

Output: output.json