BLUESPAWN

حالة الكود

مهمتنا

يساعد BLUESPAWN الفرق الزرقاء في مراقبة الأنظمة في الوقت الفعلي ضد المهاجمين النشطين من خلال اكتشاف النشاط غير الطبيعي

ما هو BLUESPAWN

BLUESPAWN هو أداة دفاع نشط وكشف واستجابة للنقاط الطرفية مما يعني أنه يمكن استخدامه من قبل المدافعين لـكشف وتحديد والقضاء بسرعة على الأنشطة الخبيثة والبرامج الضارة عبر الشبكة.

شارك وساهم في المشروع

هل تريد المساعدة في جعل BLUESPAWN أكثر فعالية في تحديد ووقف البرامج الضارة؟ انضم إلينا على خادم Discord الخاص بـ BLUESPAWN وساعد في التطوير أو حتى اقترح ميزة أو أبلغ عن خطأ. لا حاجة لخبرة - لا توجد طريقة أفضل لتعلم التطوير أو الأمان من الغوص مباشرة!

إذا كنت ترغب في المساهمة بالكود، يمكنك البدء بالاطلاع على صفحة الويكي الخاصة بنا حول إعداد بيئة التطوير الخاصة بك. لا تتردد في التواصل معنا على Discord إذا واجهت أي مشاكل أثناء الإعداد! نحن نتتبع بشكل عام الأخطاء والميزات الجديدة من خلال Issues ونتنسق في الدردشة عند القيام بأي عمل تطويري.

لماذا صنعنا BLUESPAWN

لقد أنشأنا هذا المشروع وجعلناه مفتوح المصدر لعدة أسباب منها ما يلي:

• التحرك بشكل أسرع: أردنا أدوات مصممة خصيصًا لتحديد الأنشطة الخبيثة بسرعة على النظام
• معرفة تغطيتنا: أردنا أن نعرف بالضبط ما يمكن لأدواتنا اكتشافه وألا نعتمد كثيرًا على البرامج ذات الصندوق الأسود (مثل برامج مكافحة الفيروسات). سيساعدنا هذا النهج في تركيز جهودنا بشكل أفضل على خطوط جهد محددة والثقة في حالة الآخرين.
• فهم أفضل: أردنا فهم سطح الهجوم في Windows بشكل أفضل للدفاع عنه بشكل أفضل
• المزيد من برامج الفريق الأزرق مفتوحة المصدر: بينما توجد العديد من أدوات الفريق الأحمر مفتوحة المصدر، فإن الغالبية العظمى من أفضل أدوات الفريق الأزرق هي مغلقة المصدر (مثل برامج مكافحة الفيروسات، EDRs، SysInternals، إلخ). لا ينبغي أن نعتمد على الأمان من خلال الغموض لمنع الجهات الخبيثة (من الواضح أنه صعب جدًا، لكنه شيء نسعى إليه!)
• إظهار ميزات واجهات برمجة تطبيقات نظام التشغيل: لقد بحثنا في الكثير من وثائق Microsoft وإجابات StackOverflow والمزيد لإنشاء هذا. نأمل أن يجد الآخرون بعض الكود مفيدًا.

تغطية MITRE ATT&CK

قم بزيارة هذه الخريطة لرؤية قدرات التغطية الحالية

جرب BLUESPAWN

ملاحظة: BLUESPAWN قيد التطوير النشط الألفا، لذا قد لا تعمل العديد من الميزات كما هو متوقع بعد، وقد تكون الاكتشافات ضيقة النطاق أو تولد الكثير من الإيجابيات الخاطئة.

ملاحظة 2: BLUESPAWN مصمم لاستخدامه بواسطة متخصص أمني في معظم الحالات، ونتيجة لذلك، سيكتشف أحيانًا أنشطة غير خبيثة. بينما يساعد BLUESPAWN في الكشف السريع عن الأشياء التي قد تكون سيئة، فإنه يتوقع من المستخدم استخدام المعلومات المتاحة لاتخاذ القرار النهائي.

0. اطلع على صفحات الويكي لمعرفة المزيد عن خيارات سطر الأوامر المتاحة والأمثلة والمزيد.
1. قم بتنزيل أحدث إصدار من هذه الصفحة
2. افتح موجه أوامر إداري
3. قم بتشغيل الأمر التالي لرؤية الخيارات المتاحة

.\BLUESPAWN-client-x64.exe --help

وضع التخفيف

4. قم بتشغيل الأمر التالي من موجه الأوامر الإداري لتدقيق نظامك بحثًا عن وجود العديد من إعدادات الأمان

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

وضع الصيد

5. قم بتشغيل BLUESPAWN من موجه الأوامر الإداري للبحث عن النشاط الخبيث على النظام

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

وضع المراقبة

6. قم بتشغيل BLUESPAWN من موجه الأوامر الإداري لمراقبة النظام بحثًا عن النشاط الخبيث

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

خطوط الجهد

يتكون BLUESPAWN من 3 أوضاع رئيسية كما هو موضح أدناه. تحتوي العديد من هذه الوحدات على وحدات فرعية (قد لا تكون منشأة في قاعدة الكود بعد) كما هو موضح أدناه، وجميعها في مراحل مختلفة من التخطيط والبحث والتطوير. بالإضافة إلى ذلك، فهي مدعومة بعدد من الوحدات الأخرى.

• Hunt (يبحث عن أدلة على السلوك الخبيث)

• Mitigate (يخفف الثغرات الأمنية من خلال تطبيق إعدادات الأمان)

• Monitor (يراقب النظام باستمرار بحثًا عن سلوك يحتمل أن يكون خبيثًا)

• Scan (يستخدم لتقييم العناصر التي تم تحديدها بواسطة عمليات الصيد واتخاذ قرار بشأن ما إذا كانت مشبوهة / برامج ضارة)

• User (يحتوي على main البرنامج و IOBase ووظائف أخرى مماثلة)

• Util (يحتوي على مجموعة من الوحدات التي تدعم العمليات الأساسية)

  • Configurations
  • Event Logs
  • File System
  • Log
  • PEs
  • Processes

محاضرات ومنشورات وإشارات أخرى

فيما يلي بعض الأماكن التي ربما سمعت فيها عن المشروع :)

DEFCON 28 Blue Team Village - نظرة عامة، الشرائح

مسابقة الدفاع السيبراني الوطنية للكليات، 2020 إحاطة الفريق الأحمر - Youtube

ورقة بحثية لـ BLUESPAWN في جامعة فرجينيا - الورقة، DOI 10.18130/v3-b1n6-ef83

اتصل بنا

إذا كان لديك أي أسئلة أو تعليقات أو اقتراحات، فلا تتردد في إرسال بريد إلكتروني إلينا على [email protected] أو مراسلتنا في خادم Discord الخاص بـ BLUESPAWN.

الترخيص والامتثال

كود BLUESPAWN الأساسي مرخص بموجب GNU General Public License (GPL) v3.0.

لاحظ أن المشروع يدمج عدة مكتبات أخرى لتوفير ميزات / اكتشافات إضافية. إحداها هي signature-base لـ Florian Roth والتي مرخصة بموجب Creative Commons Attribution-NonCommercial 4.0 International License. قواعد YARA من هذا المشروع مدمجة في البناء القياسي دون أي تغييرات. لاستخدام BLUESPAWN لأي أغراض تجارية، يجب إزالة كل شيء تحت سطر "Non-Commercial Only" في هذا الملف وإعادة تجميع المشروع.

مؤلفو المشروع

صُنع بـ ❤️ بواسطة فريق الدفاع السيبراني بجامعة فرجينيا والأشخاص الرائعين الآخرين في فريق التطوير الأساسي المدرجين أدناه

• Jake Smith (Github، Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github، Twitter)
• Will Mayes (Github، Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

المساهمون

شكرًا لجميع الأشخاص المدرجين أدناه على مساهماتهم في BLUESPAWN!

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

هل تريد المساعدة؟ ألق نظرة على المشكلات الحالية، وأضف أفكارًا لميزات جديدة، واكتب بعض الكود، وأنشئ طلب سحب!

شكر خاص

نود أن نقدم شكرًا خاصًا للمشاريع التالية التي ساعدتنا في بناء BLUESPAWN:

• دعم Github للمشاريع مفتوحة المصدر، خاصة القدرة على استخدام غير محدود لـ Github Actions
• وثائق وأمثلة Microsoft على Windows API
• وكالة أنظمة المعلومات الدفاعية (DISA) التابعة لوزارة الدفاع لعملها الرائع في نشر STIGs والإرشادات الفنية الأمنية المختلفة لنظام Windows.
• PE Sieve لـ @hasherezade، والذي يدير حاليًا تحليلات عملياتنا
• مشروع YARA من VirusTotal الذي نستخدمه لفحص البيانات بحثًا عن معرفات خبيثة
• مستودع القواعد لمشروع Yara Rules الذي يحتوي على مجموعة كبيرة من قواعد YARA مفتوحة المصدر
• مشروع signature-base مفتوح المصدر لـ @Neo23x0 والذي يحتوي على مجموعة كبيرة من قواعد YARA
• مشروع MITRE's ATT&CK الذي جمع إطارًا رائعًا للنظر في أساليب المهاجمين وتوثيقها وتصنيفها
• مشروعا Red Canary: Atomic Red Team و Invoke-AtomicRedTeam اللذان كانا مفيدين للغاية في المساعدة على اختبار الاكتشافات التي نبنيها
• مبادرة Amazon's Open Source at AWS التي قدمت لفريقنا بعض أرصدة AWS الترويجية لمساعدتنا في البحث واختبار BLUESPAWN بشكل أفضل
• إرشادات الدفاع السيبراني NSA الخاصة بـ إعادة توجيه الأحداث في Windows
• مدونة أمان Active Directory لـ Sean Metcalf ADSecurity
• موقع Geoff Chappell حول مكونات Windows
• أبحاث Matt Graeber المذهلة حول أمان Windows بما في ذلك ورقته Subverting Trust in Windows
• مشروع لـ