BloodSOCer

BloodSOCer هي أداة أتمتة مكتوبة بلغة Python تقوم بتجميع بيانات استخبارات التهديدات من عدة مصادر (Mitre ATT&CK، Sigma rules، Atomic Red Team) وتُنتج ملفات JSON لاستيرادها إلى BloodHound بصيغة OpenGraph. يستطيع BloodSOCer أيضًا رفع الملفات إلى BloodHound وتعيين الأيقونات للكائنات المخصصة إذا كانت لديه رموز API معرفة في الإعدادات. يمكن لمحللي الأمان بعد ذلك تصور البيانات من أي زاوية، ويتم توفير عدد من استعلامات Cypher لمساعدتك على البدء.

الأهداف

الفكرة وراء هذا المشروع هي مساعدة مركز عمليات الأمن (SOC) على رسم خريطة تغطيتهم لإطار عمل Mitre ATT&CK والمساعدة أثناء الاستجابة للحوادث لتحديد أماكن النقاط العمياء بسرعة. من الأفضل أن يقوم الـ SOC برسم خريطة اكتشافاته الخاصة بدلاً من الاعتماد على اكتشافات Sigma "الجاهزة". لا تفهموني خطأ، Sigma هو أحد مشاريع المصادر المفتوحة المفضلة لدي، لكن معظم الاكتشافات تكون أكثر ملاءمة للسياق/الإثراء أو لتوليد مؤشرات لصيد التهديدات بدلاً من إنشاء تذاكر قابلة للتنفيذ.

عندما كنت في مركز عمليات أمني، كنا نحاول غالبًا عرض/إظهار كيف ترتبط اكتشافاتنا بإطار عمل ATT&CK. لطالما اعتقدت أن رسمًا بيانيًا من نوع BloodHound سيكون رائعًا لهذا الغرض، لذا بنيت هذا المشروع آملًا أن يساعد زملائي في الفريق الأزرق على تصور تغطيتهم وكيف ترتبط الأجزاء المختلفة ببعضها البعض.

مع إدخال ART، يمكن أيضًا رؤية أي من TTP يسهل اختباره وأيها لا يمكن اختباره بسهولة.

أشجعك بشدة على مشاركة Sigma Rules وART مع المشروع الأصلي إذا قمت بإنشاء اكتشافات/اختبارات لـ TTP لا يحتوي على أي منها.

الميزات

• SigmaHound: جلب ومعالجة قواعد كشف Sigma
• ARTHound: جلب ومعالجة اختبارات Atomic Red Team (ART)
• Define Icons: تخصيص أيقونات BloodHound للجهات الفاعلة في التهديدات والتقنيات
• Saved Queries: استيراد استعلامات Cypher المرفقة إلى BloodHound عبر UL-Cyphers.py أو --setup
• Batch Upload: رفع الرسوم البيانية JSON المُولدة إلى BloodHound مع تشغيل الاستيراد تلقائيًا
• Upload Only: إذا كنت تملك الملفات بالفعل ولكنك تريد استيرادها إلى نسخة جديدة من BloodHound أو تم مسح قاعدة البيانات
• Clear Database: إعادة تعيين نسخة BloodHound عبر API قبل استيراد جديد
• Setup Helper: علامة واحدة لتشغيل تحديث الأيقونات واستيراد الاستعلامات المحفوظة معًا
• One Playbook linked to 2 TTP: هذا فقط لإظهار كيف سيبدو الأمر إذا قمت بربط دليل استجابة الحوادث الخاص بك بـ ATT&CK واستيراد البيانات
• CLI Interface: وسائط سطر أوامر بسيطة لتشغيل الأجزاء الفردية أو كلها

المتطلبات

• Python 3.8+
• خادم BloodHound يعمل (الافتراضي: http://127.0.0.1:8080)

اختياري

• بيانات اعتماد BloodHound API (Token ID و Token Key)
  • إذا لم تقدم مفاتيح API، لن يتمكن BloodSOCer من:
    • رفع البيانات المُولدة (ولكن يمكنك رفعها يدويًا في الواجهة)
    • إنشاء استعلامات Cypher المخصصة لهذا المشروع (ولكن يمكنك رفعها يدويًا في الواجهة)
    • تعيين الأيقونات المخصصة

التثبيت

1. استنساخ المستودع:

   root@kitploit:~

   git clone https://github.com/yourusername/BloodSOCer.git
   cd BloodSOCer
   

2. تثبيت التبعيات:

   root@kitploit:~

   pip3 install -r requirements.txt
   

3. تكوين بيانات اعتماد API في BloodSOCer.py:

   root@kitploit:~

   apikey = "your-api-key-here"
   apiid = "your-api-id-here"
   

الاستخدام

فقط قم بتشغيله

python3 BloodSOCer.py

عرض المساعدة

python3 BloodSOCer.py -h

تشغيل الأدوات الفردية

python3 BloodSOCer.py --mitre, -m
python3 BloodSOCer.py --sigma, -s
python3 BloodSOCer.py --art, -r

تشغيل Define Icons

python3 BloodSOCer.py --define-icons, -di

تشغيل الإعداد (الأيقونات + الاستعلامات)

python3 BloodSOCer.py --setup, -st

رفع الملفات فقط

python3 BloodSOCer.py --upload-only, -ul

تشغيل جميع الأدوات ورفع البيانات

python3 BloodSOCer.py --all, -a

دمج عمليات متعددة

python3 BloodSOCer.py --mitre --sigma --define-icons

حذف جميع البيانات في قاعدة البيانات

python3 BloodSOCer.py --clear-db

ملاحظة: بالنسبة إلى --define-icons و --upload-only يجب تعريف مفتاح API وسر API في BloodSOCer.py

الإعدادات

قم بتحرير BloodSOCer.py للتخصيص:

• apikey: مفتاح BloodHound API الخاص بك
• apiid: معرف BloodHound API الخاص بك
• url: عنوان خادم BloodHound (الافتراضي: http://127.0.0.1:8080)

بنية الملفات

BloodSOCer/
├── BloodSOCer.py              # نقطة الدخول الرئيسية
├── MitreHound.py              # جالب بيانات MITRE ATT&CK
├── ARTHound.py                # جالب بيانات Atomic Red Team
├── SigmaHound.py              # جالب بيانات قواعد Sigma
├── Define-Icons.py            # مخصص أيقونات BloodHound
├── UL-Cyphers.py              # رفع استعلامات Cypher المخصصة للمساعدة في الاستعلام عن البيانات المستوردة
├── Cyphers/                   # الاستعلامات المحفوظة (Cypher) بصيغة JSON
├── ressources/                # الصور/المخططات (مخطط الأسهم، الشعار)
├── README.md                  # هذا الملف
├── requirements.txt           # تبعيات Python
└── output/                    # ملفات *_graph.json المُولدة

العقد والحواف الجديدة

العقد

يضيف هذا المشروع أنواع العقد التالية

• TA_Group
  • مجموعة جهات فاعلة في التهديدات
• Tactic
  • تكتيك Mitre ATT&CK مثل "Command and Control"
• Technique
  • تقنية Mitre ATT&CK مثل "OS Credential Dumping"
  • تقنية فرعية من Mitre ATT&CK مثل "OS Credential Dumping: LSA Secrets"
• Tool
  • برنامج يُستخدم لتنفيذ هجوم مثل "UACMe"
• Rule
  • قواعد Sigma لكشف تقنية أو تقنية فرعية
• ART
  • Atomic Red Team - اختبارات تستغل تقنية أو تقنية فرعية محددة
• Playbook
  • دليل استجابة للحوادث، مثل IRP يمكن استخدامه عند نجاح خصم في استخدام تقنية ما
  • ملاحظة: نظرًا لأن IRP لا يحتوي على ربط بإطار عمل Mitre ATT&CK، فهذه غير مُطبقة حاليًا

الحواف

يضيف هذا المشروع الحواف/العلاقات التالية

• Exploits
  • أداة Exploits (تستغل) تقنية أو تقنية فرعية
• Uses
  • جهة فاعلة في التهديدات Uses (تستخدم) أداة أو تقنية أو تقنية فرعية
• PartOf
  • تقنية PartOf (جزء من) تكتيك
• SubTechniqueOf
  • تقنية فرعية SubTechniqueOf (تقنية فرعية لـ) تقنية
• DetectedBy
  • تقنية أو تقنية فرعية DetectedBy (يتم كشفها بواسطة) قاعدة
• TestedBy
  • تقنية أو تقنية فرعية TestedBy (يتم اختبارها بواسطة) ART
• InvestigateWith
  • تقنية أو تقنية فرعية InvestigateWith (يتم التحقيق معها باستخدام) دليل

الرسم البياني المفاهيمي

BloodSOCer Arrows Graph

لتنزيل ملف json لهذا الرسم البياني من Arrows.app انقر هنا

مثال على المخرجات

اكتشافات لـ FIN7 باستخدام Mimikatz

التكتيكات المستخدمة من قبل FIN7

الكشف والاختبار لنشاط FIN7

دلائل الاستجابة للتحقيق في نشاط FIN7 و Scattered Spider

ملاحظات

• قد يستغرق استيراد البيانات المرفوعة بضع دقائق اعتمادًا على حجم الملف وحمل الخادم وموارده
• تأكد من صحة بيانات اعتماد BloodHound API قبل التشغيل
• يجب أن تكون جميع ملفات الرسوم البيانية JSON موجودة في الدليل الحالي قبل الرفع
• سيتم تطبيق الأيقونات المخصصة المعرفة في Define-Icons.py على واجهة BloodHound
• لا تقوم هذه الأداة حاليًا باستيراد أي دلائل استجابة

الترخيص

Apache 2.0

شكر وتقدير

عندما سمعت لأول مرة عن OpenGraph، فكرت فورًا أنه سيكون طريقة رائعة لاستيراد إطار عمل Mitre ATT&CK واستخدام BloodHound لتصوره. Olaf Hartong فعل ذلك قبل بضع سنوات انظر مدونته ويبدو أنه استلهم الفكرة من SadProcessor الذي يعد الآن زميلًا لي. لقد عدنا إلى نقطة البداية بهذا الشأن.

المساهمة

نرحب بطلبات السحب (Pull requests) والقضايا (Issues).