cirro

Cirro ist eine erweiterbare Sicherheitsforschungsplattform, die es Forschern und Penetrationstestern ermöglicht, Cloud-Umgebungen und Identitätsbeziehungen über Graphdatenbanken zu sammeln, zu analysieren und zu visualisieren. Mit einer modularen Architektur aufgebaut, kann Cirro erweitert werden, um mehrere Plattformen und Datenquellen zu unterstützen.

Weitere Informationen finden Sie in der Dokumentation.

Features

• Plattformübergreifende Datensammlung: Erweiterbare Architektur, die mehrere Cloud-Plattformen und Identitätsanbieter unterstützt
• Flexible Authentifizierung: Unterstützung für verschiedene Authentifizierungsmethoden je nach Zielplattform
• Plattformunabhängig: Verfügbar für Windows, macOS und Linux
• Modulares Design: Optionale Plattformfunktionalität durch Feature-Flags und erweiterbare Plugin-Architektur
• Netzwerktopologieanalyse: Unterstützung für Netzwerkinfrastrukturplattformen wie Tailscale

Architecture

Cirro hat zwei Hauptfunktionsbereiche:

• Sammlung (cirro collect): Sammelt Informationen von verschiedenen Plattformen und APIs
• Graph-Operationen (cirro graph): Verwaltet Graphdatenbankoperationen einschließlich Datenaufnahme und -export

Die modulare Architektur verwendet Feature-Flags, um plattformspezifische Funktionalität zu aktivieren, sodass Benutzer nur die benötigten Komponenten erstellen können.

CLI Structure

Cirro verwendet eine hierarchische Befehlsstruktur, die nach Funktion und Plattform organisiert ist:

cirro <function> <platform> <command> [options]

Data Collection

Azure (collect az)

# Available authentication methods:
cirro collect az azcli           # Azure CLI authentication
cirro collect az client-secret   # Client ID and secret
cirro collect az client-cert     # Client certificate
cirro collect az access-token    # Pre-obtained access token
cirro collect az user-pass       # Username and password

Tailscale (collect ts)

# Tailscale data collection
cirro collect ts <auth-method> [options]

Graph Operations

Datenaufnahme (graph ingest)

# Ingest collected data into graph database
cirro graph ingest --type <platform> --file <data-file> [database options]

Datenexport (graph export)

# Export graph data to various formats
cirro graph export --format <format> [options]

Installation

Pre-built Binaries

Laden Sie die neueste Version für Ihre Plattform von der Releases-Seite herunter. Die Releases werden mit allen aktivierten Funktionen erstellt.

Building from Source

git clone https://github.com/bishopfox/cirro.git
cd cirro
cargo build --release

HINWEIS: DAS ERSTELLEN MIT --RELEASE IST FÜR DIE GRAPH-FUNKTIONALITÄT WICHTIG, DA ES YAML-KONFIGURATIONSDATEIEN IN DIE BINÄRDATEI EINBETTET!

Die Binärdatei ist unter target/release/cirro verfügbar.

Build Options

Standardmäßig enthält Cirro alle verfügbaren Funktionen. Um mit bestimmten Features zu erstellen:

# Build with only collection features
cargo build --release --no-default-features --features collector

# Build with only graph features
cargo build --release --no-default-features --features graph

# Build with specific platform support
cargo build --release --no-default-features --features "azure"
cargo build --release --no-default-features --features "tailscale"

Data Ingestion

Cirro verwendet Neo4j als Backend-Datenbank. Im Verzeichnis tools befinden sich Docker-Compose-Dateien, die bei der Arbeit mit containerisierten Datenbanken helfen.

Nach dem Sammeln der Daten nehmen Sie diese in Ihre Graphdatenbank auf:

# Ingest data for specific platforms
cirro graph ingest --type az --file cirro_output.db         # Azure data
cirro graph ingest --type ts --file cirro_ts_socket.json    # Tailscale data

# Specify custom database connection
cirro graph ingest --type az --file cirro_output.db \
  --server bolt://localhost:7687 \
  --user neo4j \
  --password password

Dry-Run Mode

Vorschau auf das, was aufgenommen und nachbearbeitet würde, ohne Daten in die Graphdatenbank zu schreiben:

# Preview Azure ingestion and see which resource types have no implemented specs
cirro graph ingest --type az --file cirro_output.db --dry-run

# Preview Tailscale ingestion
cirro graph ingest --type ts --file cirro_ts_socket.json --dry-run

Im Dry-Run-Modus wird Cirro:

• Jede Spezifikation und deren Zeilenanzahl melden, die verarbeitet werden würde
• Alle Neo4j-Schreibvorgänge überspringen (keine Aufnahme- oder Nachbearbeitungsabfragen werden ausgeführt)
• Für Azure die Ressourcentypen in den Eingabedaten auflisten, für die keine implementierte Spezifikation vorhanden ist

Dashboard

CirroDash finden Sie hier: https://github.com/bishopfox/cirrodash

Debug Mode

Debug-Logging für detaillierte Informationen aktivieren:

# Collection debug mode
cirro collect az azcli --debug

# Ingestion debug mode
cirro graph ingest --type az --file cirro_output.db --debug

Hinweis: Cirro ist für autorisierte Sicherheitstests und Forschung konzipiert. Stellen Sie sicher, dass Sie über die entsprechenden Berechtigungen verfügen, bevor Sie es gegen eine Cloud- oder Netzwerkumgebung ausführen.