RedEye: Visualisierung von C2-Protokollen für Red Teams

---

⚠️ Dieses Repository befindet sich derzeit im Wartungsmodus ⚠️

Dieses GitHub-Repository wird nicht mehr aktiv weiterentwickelt. Wir werden Community-Issues und Pull-Requests für Fehlerbehebungen prüfen, aber keine neuen Funktionen mehr berücksichtigen.

---

RedEye ist ein Open-Source-Analysewerkzeug, das von der CISA und dem Pacific Northwest National Laboratory des DOE entwickelt wurde, um Red Teams bei der Visualisierung und Berichterstellung von Command-and-Control-Aktivitäten zu unterstützen. Dieses Tool ermöglicht es einem Operator, komplexe Daten zu bewerten und darzustellen, Minderungsstrategien zu evaluieren und effektive Entscheidungen als Reaktion auf eine Red-Team-Bewertung zu treffen. Das Tool analysiert Protokolle, wie beispielsweise die von Cobalt Strike, und präsentiert die Daten in einem leicht verständlichen Format. Die Benutzer können dann Aktivitäten, die im Tool angezeigt werden, markieren und Kommentare hinzufügen. Die Operatoren können den Präsentationsmodus von RedEye nutzen, um Ergebnisse und Arbeitsabläufe gegenüber Stakeholdern zu präsentieren.

RedEye kann einem Operator dabei helfen, effizient:

• Die Bewertungsaktivitäten des Red Teams so wiederzugeben und zu demonstrieren, wie sie stattgefunden haben, anstatt manuell Tausende von Zeilen Protokolltext durchzugehen.
• Komplexe Bewertungsdaten anzuzeigen und zu bewerten, um effektive Entscheidungen zu ermöglichen.
• Ein klareres Verständnis des eingeschlagenen Angriffspfads und der während einer Red-Team-Bewertung oder eines Penetrationstests kompromittierten Hosts zu gewinnen.

Red Team	Blue Team

Schnellstart

1. Laden Sie die neuesten RedEye-Binärdateien für Ihr Betriebssystem* von der Releases-Seite herunter.
2. Wählen Sie einen Modus und starten Sie den Server
   • Red-Team-Modus aktiviert den vollständigen Funktionsumfang: C2-Protokolle hochladen, Daten erkunden und Präsentationen erstellen. Sie müssen ein Passwort angeben, um im Red-Team-Modus zu arbeiten. Geben Sie zum Starten des Servers im Red-Team-Modus Folgendes in einem Terminal ein.

     ./RedEye --redTeam --password <your_password>
     

   • Blue-Team-Modus (Standard) aktiviert eine vereinfachte, schreibgeschützte Benutzeroberfläche zum Anzeigen von Kampagnen, die von einem Red-Team exportiert wurden. Geben Sie zum Starten des Servers im Blue-Team-Modus Folgendes in einem Terminal ein.

     ./RedEye   # Or simplify double-click the "RedEye" executable 
     

3. Verwenden Sie die Web-App in einem Browser unter http://127.0.0.1:4000. Die RedEye-Binärdatei läuft als Server in einem Terminalfenster und öffnet automatisch die Web-App-Benutzeroberfläche in Ihrem Standardbrowser. Sie müssen das Terminalfenster schließen, um den RedEye-Server zu beenden.
4. Versuchen Sie, den Beispieldatensatz gt.redeye zu importieren, um loszulegen. Oder probieren Sie einen anderen Beispieldatensatz.

macOS-Problem - Wenn Sie RedEye zum ersten Mal ausführen, erhalten Sie möglicherweise einen Fehler "nicht verifiziert". Sie müssen zu "Systemeinstellungen" > "Sicherheit & Datenschutz" > "Allgemein" gehen und auf "Trotzdem öffnen" klicken. Weitere Informationen finden Sie auf der Apple-Support-Seite.

Folgen Sie dem Benutzerhandbuch um mehr über die Funktionen von RedEye zu erfahren.

---

Red-Team- und Blue-Team-Modi

RedEye verfügt über zwei Modi, die zwei Phasen des Red-Teaming-Prozesses abdecken. Der Red-Team-Modus ermöglicht das Importieren von C2-Daten, das Bearbeiten importierter Daten sowie das Erstellen von Kommentaren und Präsentationen. Nach dem Kuratieren und Kommentieren von Kampagnendaten können Red Teams ihre Kampagne als eigenständige .redeye-Datei exportieren und an ein Blue Team übergeben zur Berichterstellung und Behebung. Der Blue-Team-Modus führt RedEye in einem vereinfachten, schreibgeschützten Modus aus, um kuratierte, von einem Red-Team exportierte Daten anzuzeigen.

Hinweis: Sowohl der Red- als auch der Blue-Team-Modus können über dieselbe RedEye-Anwendungsbinärdatei gestartet werden.

Red Team

Die heruntergeladene Binärdatei besteht aus zwei Teilen:

• Die RedEye-Anwendungsbinärdatei
• Der Ordner parsers mit den Parser-Binärdateien (z.B. der Cobalt-Strike-Log-Parser cobalt-strike-parser)

Es gibt drei Optionen, um RedEye im Red-Team-Modus auszuführen:

1. Führen Sie die heruntergeladene Binärdatei mit den Optionen --redTeam und --password aus:

   ./RedEye --redTeam --password <your_password>
   

2. Klonen, installieren und führen Sie das Projekt direkt aus (behandelt im Abschnitt Lokaler Build).
3. Docker Compose
   1. Klonen Sie das Repository.
   2. Aktualisieren Sie die Umgebungsvariablen in docker-compose.yml.
   3. Führen Sie aus:

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

Der Blue-Team-Modus ist eine vereinfachte, schreibgeschützte Benutzeroberfläche zur Anzeige von Daten, die von einem Red Team kuratiert, kommentiert und exportiert wurden. Dieser Modus wird standardmäßig ausgeführt, um den Start für das Blue Team zu vereinfachen.

Die Blue-Team-Version kann durch Doppelklicken der ausführbaren Datei 'RedEye' gestartet werden. RedEye läuft unter http://127.0.0.1:4000 (standardmäßig) und öffnet automatisch Ihren Standardbrowser.

Übergabe der Präsentation an das Blue Team

Wenn sich ein Ordner campaigns im selben Verzeichnis wie die Anwendung RedEye befindet, versucht RedEye, alle .redeye-Kampagnendateien darin zu importieren. Kampagnendateien können im Red-Team-Modus exportiert werden.

Um eine Version für das Blue Team vorzubereiten, befolgen Sie diese beiden Schritte:

1. Kopieren Sie die ausführbare RedEye-Datei in einen leeren Ordner.
2. Erstellen Sie einen campaigns-Ordner im selben Verzeichnis und legen Sie die .redeye-Kampagnendateien hinein, die Sie senden möchten.

Folder/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

.redeye-Dateien können auch im Blue-Team-Modus über den Dialog "+ Kampagne hinzufügen" hochgeladen werden.