trycatchhcf/dumpsterfire
"حوادث أمنية في صندوق!" أداة معيارية، مدفوعة بالقوائم، متعددة المنصات لبناء أحداث أمنية مخصصة ومؤجلة زمنياً وموزعة. أنشئ بسهولة سلاسل أحداث مخصصة لتمارين الفريق الأزرق والأحمر ورسم خرائط المستشعرات/التنبيهات. يمكن للفرق الحمراء إنشاء حوادث وهمية وإلهاءات وطعوم لدعم وتوسيع عملياتهم. ابنِ تسلسلات أحداث ("روايات") لمحاكاة سيناريوهات واقعية وتوليد آثار شبكية ونظام ملفات مقابلة.
مجموعة أدوات DumpsterFire - "حوادث أمنية في صندوق!"
(تحديث 27/05/2020: نعم، سأقوم بترحيل جميع مشاريعي على Github إلى Python3 خلال صيف 2020.)
مجموعة أدوات DumpsterFire هي أداة نمطية، تعمل بقوائم، متعددة المنصات، لبناء أحداث أمنية موزعة وقابلة للتكرار ومؤجلة زمنياً. يمكنك بسهولة إنشاء سلاسل أحداث مخصصة لتدريبات الفرق الزرقاء (Blue Team) ورسم خرائط أجهزة الاستشعار/التنبيهات. يمكن للفرق الحمراء (Red Team) إنشاء حوادث وهمية وعوامل تشتيت وإغراءات لدعم وتوسيع عملياتها. حوّل تمارين الطاولة الورقية إلى أحداث "نيران حية" خاضعة للرقابة. أنشئ تسلسلات أحداث ("روايات") لمحاكاة سيناريوهات واقعية وتوليد آثار شبكية وملفاتية مقابلة.
تم تصميم مجموعة الأدوات لتكون قابلة للتوسع ديناميكياً، مما يسمح لك بإنشاء "حرائق" (وحدات أحداث) خاصة بك لإضافتها إلى مجموعة الحرائق المرفقة في الأدوات. فقط اكتب وحدة الحرائق الخاصة بك وضعها في دليل FireModules. ستقوم مجموعة أدوات DumpsterFire بالكشف التلقائي عن حرائقك المخصصة عند بدء التشغيل وجعلها متاحة للاستخدام.
Joe Gervais (TryCatchHCF)
عادةً ما تكون الفرق الحمراء والزرقاء منهكة. ما ينقص هو وسيلة لتوسيع نطاق قدرات كل فريق، مما يوفر نشاطاً أكثر فعالية للفريق الأحمر، وتمارين أكثر واقعية (ومفيدة) للفريق الأزرق/الأرجواني. الأتمتة للإنقاذ! مجموعة أدوات DumpsterFire هي حل يعمل بقوائم متعدد المنصات يتيح لك إنشاء حوادث أمنية مخصصة بسهولة من خلال دمج الأحداث النمطية المتسلسلة في رواية متسقة. يمكن بعد ذلك تنفيذ مجموعات الأحداث تلك (حرائق القمامة - DumpsterFires) كعمليات مؤجلة زمنياً وأوتوماتيكية. (يمكن أيضاً تشغيلها فوراً بالطبع.)
النتيجة؟ بينما أنت في اجتماع أو تستمتع بالحياة، تنتظر حريق القمامة الخاص بك تفعيله عند تاريخ ووقت محددين. في مهمة الفريق الأحمر، بينما أنت مشغول باستغلال الخدمة المكشوفة على خادم B2B منسي، تكون حرائق القمامة المستنسخة والموقوتة لديك مشغولة بإضاءة نظام SIEM الخاص بالمؤسسة المستهدفة على شبكة فرعية بعيدة، مما يشتت فريق الاستجابة الخاص بهم. يمكن للفريق الأزرق تحويل تمارين الطاولة الورقية إلى أحداث "نيران حية" على الميدان، مع سلاسل أحداث DumpsterFire خاضعة للرقابة ومعتمدة مسبقاً لتفعيل أجهزة الاستشعار والتنبيهات، وتدريب المحللين باستخدام بيئة التشغيل الفعلية الخاصة بهم. يمكن لعمليات الفريق الأرجواني الآن تنفيذ سلاسل أحداث منهجية وقابلة للتكرار لرسم خريطة متسقة لوضع أجهزة الاستشعار والتنبيهات لديك. يمكنك توليد سيناريوهات جديدة لاختبار وتدريب فرقك، مما يسبق مساحة التهديد ليكونوا مستعدين للطوارئ الأمنية.
هل تساءلت يوماً كيف سيستجيب فريقك الأزرق لنشاط بوت نت Mirai على شبكتك الداخلية؟ يمكنك الآن معرفة ذلك! (لا تقلق، وحدة حريق بوت نت Mirai لا تنتقل، لكنها تستخدم نفس أسماء المستخدمين وكلمات المرور لاقتحام جلسات telnet عبر الشبكة المستهدفة.)
أليس لديك فريق أحمر ولكن تتمنى أن يكون لديك طريقة سهلة لإجراء تدريبات خاضعة للرقابة وقابلة للتكرار ومخصصة ضد جميع فرق SOC لديك؟ تم الأمر!
هل تتمنى أن تتمكن من دعم مهمة فريق أحمر ضد فريق بعيد يبعد 7 مناطق زمنية، دون الاستيقاظ في الساعة 3:00 صباحاً؟ اضغط على زر الغفوة!
هل أردت يوماً تشغيل أغنية "ريك رول" في نفس الوقت على جميع أنظمة خصومك خلال تمرين الحرب الإلكتروني السنوي الخاص بك؟ "لن يخذلك أبداً!"
انظر عينات من حرائق القمامة أدناه. وبالطبع قسم المشاغبات (Shenanigans).
انظر شرائحي من CactusCon 2017 (مضمنة في المشروع). الشرائح مكتوبة لتكون مستقلة بذاتها، وتوفر خلفية، ونهج، وحالات استخدام محددة، والمزيد. ستضع كل شيء في سياقه، ولن تسبب لك النوم أيضاً. إلا إذا سببت لك النوم، وفي هذه الحالة ربما كنت بحاجة إلى بعض الراحة على أي حال، لذا في الحقيقة جميعنا سنستفيد هنا.
يقوم DumpsterFire بإنشاء سجل أحداث بختم زمني للتاريخ والوقت حتى تتمكن الفرق الحمراء والزرقاء من التنسيق وتتبع الأحداث، وربطها بما تم اكتشافه (أو لم يتم اكتشافه) بواسطة أجهزة الاستشعار لديك، وأي التنبيهات تم تفعيلها أم لا، إلخ. كما يسمح للفرق بتأكيد الأحداث التي كانت جزءاً من عمليتك / تمرينك، مما يبقي الجميع بعيداً عن المشاكل. يتم تتبع جميع التواريخ والأوقات بالتوقيت العالمي المنسق (UTC)، بحيث يمكن ربط عملياتك العالمية بسهولة دون القلق بشأن التحويلات بين المناطق الزمنية وخطوط التاريخ الدولية.
توفر سجلات الأحداث المختومة زمنياً والمولدة تلقائياً أيضاً قيمة مضافة دون عناء لمهامك. قم بتوليد مجموعة من حرائق القمامة لمهام عملائك، مصممة خصيصاً لأسطح الهجوم الخاصة بهم. في نهاية عملياتك، يمكنك تسليم السجلات كمكافأة إضافية من الفريق الأرجواني لعملائك لتحليل ما بعد المهمة.
تم تصميم سير العمل في مجموعة أدوات DumpsterFire ليكون سهل الاستخدام وقوياً. يمكن فعل كل شيء من داخل نص dumpsterFireFactory.py الذي يعمل بالقوائم. قم بتشغيل النص وسيقوم الدليل بإرشادك خطوة بخطوة. يمكنك البدء بتصفح وحدات الحريق الموجودة وحرائق القمامة المحفوظة. عندما تكون مستعداً لإنشاء حرائق القمامة الخاصة بك، سيقوم الدليل بإرشادك خلال سير العمل لإنجاز المهمة. أخيراً سيكون الوقت قد حان لإشعال حريق القمامة الخاص بك. بعد اختيار حريق القمامة الذي تريده، ستستعرض وحدات الحريق والإعدادات الخاصة به. إذا كان كل شيء يبدو جيداً، أشعله!
عند بناء حريق قمامة، بعد أن تختار جميع وحدات الحريق التي ترغب في تضمينها، سيقوم الدليل بالتكرار عبر قائمة الحرائق. إذا كان لحريق ما خيارات لإعدادات مخصصة، سيقوم الدليل باستدعاء طريقة Configure() الخاصة به لتقديم مطالبات بإعداداته (مثل عنوان IP للشبكة المستهدفة).
بمجرد تكوين جميع الحرائق، سيتم منحك خيار تعيين تأخيرات زمنية فردية لحرائقك. هذا يسمح لحريق القمامة بمحاكاة العمليات الحقيقية بشكل أفضل عند تنفيذ سلسلة أحداثه. على سبيل المثال، قد يقوم الحريق الأول بزيارة مواقع ويب اختراق مختلفة، ثم يقوم الحريق التالي بتحميل بعض أدوات الاختراق الشائعة قبل إطلاق الحريق الثالث الذي يبدأ بمسح الشبكة المحلية. إذا حدث كل هذا في غضون ثوانٍ من بعضها البعض، فلن يصدق أي محلل SOC أنه كان بشرياً. بإضافة عدة دقائق أو حتى ساعات بين هذه الأحداث، يمكنك إنشاء سلسلة أحداث أكثر واقعية.
بعد تكوين جميع الحرائق وتعيين التأخيرات الفردية الاختيارية، سيُطلب منك تسمية حريق القمامة الخاص بك. لا تستخدم مسافات أو أحرفاً خاصة غريبة، فقط التزم بالحروف والأرقام والشرطات السفلية والواصلات.
وهاهو! لقد قمت الآن بإنشاء أول حريق قمامة لك. حان الوقت لإشعال واحد!
عندما تكون مستعداً لإشعال حريق قمامة، سيعرض لك الدليل أولاً إعدادات حريق القمامة. إذا كان كل شيء يبدو جيداً، سيُسأل عما إذا كنت ترغب في تعيين تأخير زمني قبل الإشعال. تتم جميع معالجة التاريخ والوقت بالتوقيت العالمي المنسق (UTC) لضمان التنفيذ المتسق بغض النظر عن موقع تنفيذ حريق القمامة الخاص بك. بخلاف ذلك، يمكنك رفض التأخير الزمني وسيبدأ التنفيذ فوراً بعد منحك التأكيد النهائي.
أثناء تنفيذ حريق القمامة، ستتلقى ردود فعل منتظمة مختومة بزمن حول حالة كل حريق والأحداث الهامة. هذا لا يساعدك فقط في تتبع التقدم، بل يوفر أيضاً سجلاً زمنياً لأنشطة حريق القمامة الخاص بك - وهو أمر حاسم لتنسيق وفصل أحداثك عن الضوضاء الخلفية العامة التي تغمر كل مركز عمليات أمني (SOC). يمكنك أيضاً تسليم السجل الزمني لعملائك الخارجيين بعد انتهاء عملياتك، كسجل ذي قيمة مضافة لأنشطتك يمكنهم استخدامه لمراجعة إعدادات أجهزة الاستشعار والتنبيهات الخاصة بهم. كل ذلك دون جهد إضافي من جانبك.
يأتي الأول من أبريل! وكذلك تأتي حروب إلكترونية أو عيد ميلاد أفضل صديق لك. بعض الظروف تتطلب شيئاً إضافياً. هل تمكنت أخيراً من اختراق محيط خصمك في مسابقة حروب الشبكات؟ احتفل بالمشاغبات أثناء تأمين نصرك! هل ترك أفضل صديق شاشته مفتوحة في ليلة الألعاب؟ المشاركة اهتمام! مشاغبات DumpsterFire تسمح لك بإضافة نكهة إلى عمليتك.
هل تريد فتح المتصفح الافتراضي للنظام وبث كل روعة ريك أستلي؟ بعد ضبط مستوى صوت النظام على الحد الأقصى؟ ماذا عن فتح أي URL تختاره؟ أو تعيين أسماء مستعارة لصدفة النظام للتظاهر بأن نظام الملفات تالف؟
dumpsterFireFactory.py - أداة تعمل بقوائم لإنشاء وتكوين وجدولة وتنفيذ حرائق القمامة
FireModules/ - دليل يحتوي على أدلة فرعية للحرائق، كل دليل فرعي هو فئة معينة من الحرائق للحفاظ على تنظيم وحدات الحريق الخاصة بك. تتم إضافة الحرائق إلى حريق قمامة لإنشاء سلسلة من الأحداث والإجراءات.
DumpsterFires/ - دليل يحتوي على مجموعتك من حرائق القمامة
igniteDumpsterFire.py - نص بدون واجهة، يُستدعى من سطر الأوامر مع اسم ملف حريق القمامة الذي ترغب في تنفيذه. مفيد لإشعال حرائق القمامة الموزعة.
testFireModule.py - نص أداة لاختبار الوحدة لطرق الصنف (Class) لوحدات الحريق المخصصة لديك، دون عناء المرور بعملية مصنع DumpsterFire بأكملها لتصحيح الأخطاء. مفيد أيضاً لتشغيل حريق واحد للتحقق من إعداداتك. سيطالبك testFireModule.py بإعدادات التكوين حيثما ينطبق ذلك.
__init__.py ملفات - مطلوبة لجعل Python تعامل الأدلة على أنها تحتوي على حزم Python، مما يسمح لمجموعة أدوات DumpsterFire بالعثور على وحدات الحريق وتحميلها.
Python 2.7.x
$ ./dumpsterFireFactory.py
يرشدك نص مصنع DumpsterFire الذي يعمل بقوائم عبر كل خطوة، مع مساعدة مناسبة للسياق على طول الطريق.
في مثالنا الأول، لدينا حريق قمامة يمكن أن يكون إما تدريباً لمركز عمليات أمني (SOC) أو إلهاءً للفريق الأحمر. يقوم حريق القمامة أولاً بالبحث في Google عن أدوات الاختراق. الحريق التالي يفتح جلسات ويب لمواقع ويب اختراق مختلفة. بعد ذلك، يقوم حريق تالٍ بتنزيل بعض أدوات الاختراق الشائعة. ثم يهدف مسح المنافذ إلى الشبكة الفرعية، متبوعاً بمحاولات تسجيل دخول بالقوة العمياء ضد مضيف واحد عبر Telnet. الحريق الأخير يشغل سلسلة من أوامر Linux. لاحظ أنه بين كل حريق، قام منشئ حريق القمامة هذا بإدراج بعض التأخيرات الزمنية. هذا يجعل تدفق الأحداث يبدو أكثر واقعية.
في المثال التالي، قام الفريق الأرجواني بإنشاء حريق قمامة للمساعدة في تحليل والتحقق من صحة تكوينات أجهزة الاستشعار والتنبيهات لديهم. يشغل حريق القمامة هذا سلسلة منسقة من عمليات مسح المنافذ، كل منها يستهدف مجموعات مختلفة من المنافذ والخدمات، بمعدلات فحص متفاوتة أيضاً. قاموا بإدراج تأخير مدته 5 دقائق بين كل حريق مسح لتبسيط عزل حركة المرور المرتبطة بكل حريق مسح. عندما يشغلون حريق القمامة هذا، سيرون أيضاً طوابع زمنية للتاريخ في بداية كل حريق لمساعدتهم على فصل نشاط الحريق الشبكي عن أحداث الشبكة الأخرى.
يمنحك التصميم النمطي لـ DumpsterFire المرونة لإنشاء أي عدد من روايات سلسلة الأحداث. وحدات الحريق التي تحتوي على إعدادات قابلة للتكوين تسمح لك بتعيين الشبكات أو الأنظمة المستهدفة، إلخ. هناك بعض وحدات الحريق، مع ذلك، التي تمنحك مرونة فورية لتوسيع تسلسلات أحداث حريق القمامة الخاص بك بشكل كبير.
بدون إنشاء أي فئات جديدة لوحدة الحريق، يمكنك استخدام وحدات الحريق "المخصصة" الحالية هذه للاستفادة من حرائق القمامة الخاصة بك وتوسيعها:
يمكنك إضافة أي عدد من هذه إلى حريق القمامة الخاص بك، كل منها بإجراءاته المخصصة. على سبيل المثال، يمكنك تسلسل اثنتي عشرة وحدة "custom_url.py" معاً لبناء رواية تصفح كاملة ومصممة خصيصاً. يمكنك بعد ذلك الحصول على مثيلات مختلفة من "OSCommand/" لتنفيذ أوامر النظام لتعزيز رواية الأحداث التي تريدها. على وجه الخصوص، تمنحك حرائق "OSCommand/" مرونة لا تصدق. يأخذ كل حريق فردي في سلسلة أحداث حريق القمامة الخاص بك أي أوامر صدفيّة مناسبة لنظام تشغيل المضيف:
مثال: Linux/Unix (& OSX terminal)
find /home -name '*.bash_history' -exec cat {} ; ; echo "Never gonna give you up" > rickroll.txt ; wall rickroll.txt
DumpsterFire جاهز للاستخدام فور إخراجه من الصندوق، لكن قيمته الحقيقية تكمن في مدى سهولة توسيع صندوق أدوات سيناريوهات DumpsterFire عن طريق إنشاء وحدات حريق مخصصة خاصة بك. من خلال إنشاء وتخصيص وحدات حريق لتتناسب مع احتياجاتك الخاصة، يمكنك توسيع أنواع سيناريوهات DumpsterFire التي يمكنك بناؤها وتنفيذها بسرعة. ما عليك سوى كتابة وحدة الحريق الجديدة ووضعها في دليل موجود ضمن FireModules/ وستقوم مجموعة أدوات DumpsterFire بتحميلها تلقائياً عند وقت التشغيل وجعلها متاحة.
هل تريد الاحتفاظ بوحدات الحريق المخصصة الخاصة بك منفصلة تماماً في فئة خاصة بها؟ سهل! فقط أنشئ دليلاً جديداً ضمن FireModules/ وستقوم مجموعة أدوات DumpsterFire بالكشف التلقائي عنه وجعله متاحاً كفئة جديدة من الحرائق.
ملاحظة: تأكد من أن دليلك الجديد يحتوي على ملف فارغ باسم __init__.py وإلا فلن يتمكن مدير حزم Python من العثور عليه، ولن يراه DumpsterFire.
ترث وحدة الحريق الخاصة بك من صنف يسمى FireModule. كنقطة بداية، يمكنك نسخ وحدة حريق موجودة. تأكد من تغيير اسم الملف وجميع مراجع اسم الصنف في الملف لتتناسب مع الحريق الجديد الخاص بك.(قم بتحديث مراجع مسار الفئة في طرق المنشئ للصنف أيضاً، إذا لزم الأمر.)
طرق الصنف المطلوبة:
Configure() - يطالب المستخدم بالإدخال، ويملأ معلمات FireModule
Description() - يعيد سلسلة تحتوي على وصف لوحدة الحريق
GetParameters() - يعيد سلسلة واحدة من معلمات الحريق
SetParameters(string) - يأخذ سلسلة واحدة ويملأ أعضاء الحريق
ActivateLogging(boolean) - يعين علامة لتوليد الحريق لسجل لأنشطته (رائع للمراجعة) ملاحظة: للإصدار الأولي، يكون التسجيل إلى stdout قيد التشغيل دائماً.
Ignite() - ينفذ إجراءات الحريق
قد يكون اختبار فئات Python مزعجاً، خاصة عندما تريد اختبار وحدة لكل طريقة من طرق الصنف، مما يجبرك على المرور عبر جميع حالات استخدام التطبيق للتأكد من تنفيذ كل طريقة صنف بالترتيب الصحيح. باه. لذلك قمت بكتابة وتضمين نص سيقوم باستدعاء كل طريقة من طرق فئاتك المشتقة من FireModule بشكل صحيح، مما يتيح لك التخلص من تصحيح الأخطاء بسرعة. على الرحب والسعة. :-) أيضاً طريقة رائعة لتشغيل حريق بمفرده لاختبار إعداداتك، ومعرفة ما يفعله، إلخ.
في سطر الأوامر، أعط نص testFireModule.py مسار الملف النسبي لوحدة الحريق المخصصة لديك. سيقوم نص الاختبار باستدعاء كل من طرق FireModule المطلوبة نيابة عنك، بالتسلسل الصحيح (الحصول على التكوين قبل الحفظ، إلخ). لا يستخدم نص الاختبار معالجة الاستثناءات، لأن Python يعطيك أخطاء مفيدة فقط (مثل الإشارة إلى علامة الاقتباس المزدوجة المفقودة) عندما يتعطل. تحطم واحترق في طريقك إلى حريق مخصص ناجح!
لدي حالياً حوالي 30 وحدة حريق إضافية في مراحل مختلفة من التطوير وتصحيح الأخطاء. سأقوم بإطلاقها خلال شهري أكتوبر ونوفمبر. لكل وحدة أقوم بإنشائها، أنتهي إلى الرغبة في إنشاء اثنتين إضافيتين، لذا ترقبوا هذا المكان للحصول على التحديثات.
