trycatchhcf/dumpsterfire
"حوادث أمنية في صندوق!" أداة معيارية، مدفوعة بالقوائم، متعددة المنصات لبناء أحداث أمنية مخصصة ومؤجلة زمنياً وموزعة. أنشئ بسهولة سلاسل أحداث مخصصة لتمارين الفريق الأزرق والأحمر ورسم خرائط المستشعرات/التنبيهات. يمكن للفرق الحمراء إنشاء حوادث وهمية وإلهاءات وطعوم لدعم وتوسيع عملياتهم. ابنِ تسلسلات أحداث ("روايات") لمحاكاة سيناريوهات واقعية وتوليد آثار شبكية ونظام ملفات مقابلة.
مجموعة أدوات DumpsterFire - "حوادث أمنية في صندوق!"
(تحديث 27/05/2020: نعم، سأقوم بترحيل جميع مشاريعي على Github إلى Python3 خلال صيف 2020.)
مجموعة أدوات DumpsterFire هي أداة نمطية، تعمل بقوائم، متعددة المنصات، لبناء أحداث أمنية موزعة وقابلة للتكرار ومؤجلة زمنياً. يمكنك بسهولة إنشاء سلاسل أحداث مخصصة لتدريبات الفرق الزرقاء (Blue Team) ورسم خرائط أجهزة الاستشعار/التنبيهات. يمكن للفرق الحمراء (Red Team) إنشاء حوادث وهمية وعوامل تشتيت وإغراءات لدعم وتوسيع عملياتها. حوّل تمارين الطاولة الورقية إلى أحداث "نيران حية" خاضعة للرقابة. أنشئ تسلسلات أحداث ("روايات") لمحاكاة سيناريوهات واقعية وتوليد آثار شبكية وملفاتية مقابلة.
تم تصميم مجموعة الأدوات لتكون قابلة للتوسع ديناميكياً، مما يسمح لك بإنشاء "حرائق" (وحدات أحداث) خاصة بك لإضافتها إلى مجموعة الحرائق المرفقة في الأدوات. فقط اكتب وحدة الحرائق الخاصة بك وضعها في دليل FireModules. ستقوم مجموعة أدوات DumpsterFire بالكشف التلقائي عن حرائقك المخصصة عند بدء التشغيل وجعلها متاحة للاستخدام.
Joe Gervais (TryCatchHCF)
عادةً ما تكون الفرق الحمراء والزرقاء منهكة. ما ينقص هو وسيلة لتوسيع نطاق قدرات كل فريق، مما يوفر نشاطاً أكثر فعالية للفريق الأحمر، وتمارين أكثر واقعية (ومفيدة) للفريق الأزرق/الأرجواني. الأتمتة للإنقاذ! مجموعة أدوات DumpsterFire هي حل يعمل بقوائم متعدد المنصات يتيح لك إنشاء حوادث أمنية مخصصة بسهولة من خلال دمج الأحداث النمطية المتسلسلة في رواية متسقة. يمكن بعد ذلك تنفيذ مجموعات الأحداث تلك (حرائق القمامة - DumpsterFires) كعمليات مؤجلة زمنياً وأوتوماتيكية. (يمكن أيضاً تشغيلها فوراً بالطبع.)
النتيجة؟ بينما أنت في اجتماع أو تستمتع بالحياة، تنتظر حريق القمامة الخاص بك تفعيله عند تاريخ ووقت محددين. في مهمة الفريق الأحمر، بينما أنت مشغول باستغلال الخدمة المكشوفة على خادم B2B منسي، تكون حرائق القمامة المستنسخة والموقوتة لديك مشغولة بإضاءة نظام SIEM الخاص بالمؤسسة المستهدفة على شبكة فرعية بعيدة، مما يشتت فريق الاستجابة الخاص بهم. يمكن للفريق الأزرق تحويل تمارين الطاولة الورقية إلى أحداث "نيران حية" على الميدان، مع سلاسل أحداث DumpsterFire خاضعة للرقابة ومعتمدة مسبقاً لتفعيل أجهزة الاستشعار والتنبيهات، وتدريب المحللين باستخدام بيئة التشغيل الفعلية الخاصة بهم. يمكن لعمليات الفريق الأرجواني الآن تنفيذ سلاسل أحداث منهجية وقابلة للتكرار لرسم خريطة متسقة لوضع أجهزة الاستشعار والتنبيهات لديك. يمكنك توليد سيناريوهات جديدة لاختبار وتدريب فرقك، مما يسبق مساحة التهديد ليكونوا مستعدين للطوارئ الأمنية.
هل تساءلت يوماً كيف سيستجيب فريقك الأزرق لنشاط بوت نت Mirai على شبكتك الداخلية؟ يمكنك الآن معرفة ذلك! (لا تقلق، وحدة حريق بوت نت Mirai لا تنتقل، لكنها تستخدم نفس أسماء المستخدمين وكلمات المرور لاقتحام جلسات telnet عبر الشبكة المستهدفة.)
أليس لديك فريق أحمر ولكن تتمنى أن يكون لديك طريقة سهلة لإجراء تدريبات خاضعة للرقابة وقابلة للتكرار ومخصصة ضد جميع فرق SOC لديك؟ تم الأمر!
هل تتمنى أن تتمكن من دعم مهمة فريق أحمر ضد فريق بعيد يبعد 7 مناطق زمنية، دون الاستيقاظ في الساعة 3:00 صباحاً؟ اضغط على زر الغفوة!
هل أردت يوماً تشغيل أغنية "ريك رول" في نفس الوقت على جميع أنظمة خصومك خلال تمرين الحرب الإلكتروني السنوي الخاص بك؟ "لن يخذلك أبداً!"
انظر عينات من حرائق القمامة أدناه. وبالطبع قسم المشاغبات (Shenanigans).
انظر شرائحي من CactusCon 2017 (مضمنة في المشروع). الشرائح مكتوبة لتكون مستقلة بذاتها، وتوفر خلفية، ونهج، وحالات استخدام محددة، والمزيد. ستضع كل شيء في سياقه، ولن تسبب لك النوم أيضاً. إلا إذا سببت لك النوم، وفي هذه الحالة ربما كنت بحاجة إلى بعض الراحة على أي حال، لذا في الحقيقة جميعنا سنستفيد هنا.
يقوم DumpsterFire بإنشاء سجل أحداث بختم زمني للتاريخ والوقت حتى تتمكن الفرق الحمراء والزرقاء من التنسيق وتتبع الأحداث، وربطها بما تم اكتشافه (أو لم يتم اكتشافه) بواسطة أجهزة الاستشعار لديك، وأي التنبيهات تم تفعيلها أم لا، إلخ. كما يسمح للفرق بتأكيد الأحداث التي كانت جزءاً من عمليتك / تمرينك، مما يبقي الجميع بعيداً عن المشاكل. يتم تتبع جميع التواريخ والأوقات بالتوقيت العالمي المنسق (UTC)، بحيث يمكن ربط عملياتك العالمية بسهولة دون القلق بشأن التحويلات بين المناطق الزمنية وخطوط التاريخ الدولية.
توفر سجلات الأحداث المختومة زمنياً والمولدة تلقائياً أيضاً قيمة مضافة دون عناء لمهامك. قم بتوليد مجموعة من حرائق القمامة لمهام عملائك، مصممة خصيصاً لأسطح الهجوم الخاصة بهم. في نهاية عملياتك، يمكنك تسليم السجلات كمكافأة إضافية من الفريق الأرجواني لعملائك لتحليل ما بعد المهمة.
تم تصميم سير العمل في مجموعة أدوات DumpsterFire ليكون سهل الاستخدام وقوياً. يمكن فعل كل شيء من داخل نص dumpsterFireFactory.py الذي يعمل بالقوائم. قم بتشغيل النص وسيقوم الدليل بإرشادك خطوة بخطوة. يمكنك البدء بتصفح وحدات الحريق الموجودة وحرائق القمامة المحفوظة. عندما تكون مستعداً لإنشاء حرائق القمامة الخاصة بك، سيقوم الدليل بإرشادك خلال سير العمل لإنجاز المهمة. أخيراً سيكون الوقت قد حان لإشعال حريق القمامة الخاص بك. بعد اختيار حريق القمامة الذي تريده، ستستعرض وحدات الحريق والإعدادات الخاصة به. إذا كان كل شيء يبدو جيداً، أشعله!
عند بناء حريق قمامة، بعد أن تختار جميع وحدات الحريق التي ترغب في تضمينها، سيقوم الدليل بالتكرار عبر قائمة الحرائق. إذا كان لحريق ما خيارات لإعدادات مخصصة، سيقوم الدليل باستدعاء طريقة Configure() الخاصة به لتقديم مطالبات بإعداداته (مثل عنوان IP للشبكة المستهدفة).
بمجرد تكوين جميع الحرائق، سيتم منحك خيار تعيين تأخيرات زمنية فردية لحرائقك. هذا يسمح لحريق القمامة بمحاكاة العمليات الحقيقية بشكل أفضل عند تنفيذ سلسلة أحداثه. على سبيل المثال، قد يقوم الحريق الأول بزيارة مواقع ويب اختراق مختلفة، ثم يقوم الحريق التالي بتحميل بعض أدوات الاختراق الشائعة قبل إطلاق الحريق الثالث الذي يبدأ بمسح الشبكة المحلية. إذا حدث كل هذا في غضون ثوانٍ من بعضها البعض، فلن يصدق أي محلل SOC أنه كان بشرياً. بإضافة عدة دقائق أو حتى ساعات بين هذه الأحداث، يمكنك إنشاء سلسلة أحداث أكثر واقعية.
بعد تكوين جميع الحرائق وتعيين التأخيرات الفردية الاختيارية، سيُطلب منك تسمية حريق القمامة الخاص بك. لا تستخدم مسافات أو أحرفاً خاصة غريبة، فقط التزم بالحروف والأرقام والشرطات السفلية والواصلات.
وهاهو! لقد قمت الآن بإنشاء أول حريق قمامة لك. حان الوقت لإشعال واحد!
عندما تكون مستعداً لإشعال حريق قمامة، سيعرض لك الدليل أولاً إعدادات حريق القمامة. إذا كان كل شيء يبدو جيداً، سيُسأل عما إذا كنت ترغب في تعيين تأخير زمني قبل الإشعال. تتم جميع معالجة التاريخ والوقت بالتوقيت العالمي المنسق (UTC) لضمان التنفيذ المتسق بغض النظر عن موقع تنفيذ حريق القمامة الخاص بك. بخلاف ذلك، يمكنك رفض التأخير الزمني وسيبدأ التنفيذ فوراً بعد منحك التأكيد النهائي.
أثناء تنفيذ حريق القمامة، ستتلقى ردود فعل منتظمة مختومة بزمن حول حالة كل حريق والأحداث الهامة. هذا لا يساعدك فقط في تتبع التقدم، بل يوفر أيضاً سجلاً زمنياً لأنشطة حريق القمامة الخاص بك - وهو أمر حاسم لتنسيق وفصل أحداثك عن الضوضاء الخلفية العامة التي تغمر كل مركز عمليات أمني (SOC). يمكنك أيضاً تسليم السجل الزمني لعملائك الخارجيين بعد انتهاء عملياتك، كسجل ذي قيمة مضافة لأنشطتك يمكنهم استخدامه لمراجعة إعدادات أجهزة الاستشعار والتنبيهات الخاصة بهم. كل ذلك دون جهد إضافي من جانبك.
يأتي الأول من أبريل! وكذلك تأتي حروب إلكترونية أو عيد ميلاد أفضل صديق لك. بعض الظروف تتطلب شيئاً إضافياً. هل تمكنت أخيراً من اختراق محيط خصمك في مسابقة حروب الشبكات؟ احتفل بالمشاغبات أثناء تأمين نصرك! هل ترك أفضل صديق شاشته مفتوحة في ليلة الألعاب؟ المشاركة اهتمام! مشاغبات DumpsterFire تسمح لك بإضافة نكهة إلى عمليتك.
هل تريد فتح المتصفح الافتراضي للنظام وبث كل روعة ريك أستلي؟ بعد ضبط مستوى صوت النظام على الحد الأقصى؟ ماذا عن فتح أي URL تختاره؟ أو تعيين أسماء مستعارة لصدفة النظام للتظاهر بأن نظام الملفات تالف؟
dumpsterFireFactory.py - أداة تعمل بقوائم لإنشاء وتكوين وجدولة وتنفيذ حرائق القمامة
FireModules/ - دليل يحتوي على أدلة فرعية للحرائق، كل دليل فرعي هو فئة معينة من الحرائق للحفاظ على تنظيم وحدات الحريق الخاصة بك. تتم إضافة الحرائق إلى حريق قمامة لإنشاء سلسلة من الأحداث والإجراءات.
DumpsterFires/ - دليل يحتوي على مجموعتك من حرائق القمامة
igniteDumpsterFire.py - نص بدون واجهة، يُستدعى من سطر الأوامر مع اسم ملف حريق القمامة الذي ترغب في تنفيذه. مفيد لإشعال حرائق القمامة الموزعة.
testFireModule.py - نص أداة لاختبار الوحدة لطرق الصنف (Class) لوحدات الحريق المخصصة لديك، دون عناء المرور بعملية مصنع DumpsterFire بأكملها لتصحيح الأخطاء. مفيد أيضاً لتشغيل حريق واحد للتحقق من إعداداتك. سيطالبك testFireModule.py بإعدادات التكوين حيثما ينطبق ذلك.
