RedEye: Visualisierung von C2-Protokollen für Red Teams

⚠️ Dieses Repository befindet sich derzeit im Wartungsmodus ⚠️

Dieses GitHub-Repository wird nicht mehr aktiv weiterentwickelt. Wir werden Community-Issues und Pull-Requests für Fehlerbehebungen prüfen, aber keine neuen Funktionen mehr berücksichtigen.

RedEye ist ein Open-Source-Analysewerkzeug, das von der CISA und dem Pacific Northwest National Laboratory des DOE entwickelt wurde, um Red Teams bei der Visualisierung und Berichterstellung von Command-and-Control-Aktivitäten zu unterstützen. Dieses Tool ermöglicht es einem Operator, komplexe Daten zu bewerten und darzustellen, Minderungsstrategien zu evaluieren und effektive Entscheidungen als Reaktion auf eine Red-Team-Bewertung zu treffen. Das Tool analysiert Protokolle, wie beispielsweise die von Cobalt Strike, und präsentiert die Daten in einem leicht verständlichen Format. Die Benutzer können dann Aktivitäten, die im Tool angezeigt werden, markieren und Kommentare hinzufügen. Die Operatoren können den Präsentationsmodus von RedEye nutzen, um Ergebnisse und Arbeitsabläufe gegenüber Stakeholdern zu präsentieren.

RedEye kann einem Operator dabei helfen, effizient:

• Die Bewertungsaktivitäten des Red Teams so wiederzugeben und zu demonstrieren, wie sie stattgefunden haben, anstatt manuell Tausende von Zeilen Protokolltext durchzugehen.
• Komplexe Bewertungsdaten anzuzeigen und zu bewerten, um effektive Entscheidungen zu ermöglichen.
• Ein klareres Verständnis des eingeschlagenen Angriffspfads und der während einer Red-Team-Bewertung oder eines Penetrationstests kompromittierten Hosts zu gewinnen.

Red Team	Blue Team

Schnellstart

1. Laden Sie die neuesten RedEye-Binärdateien für Ihr Betriebssystem* von der Releases-Seite herunter.
2. Wählen Sie einen Modus und starten Sie den Server
   • Red-Team-Modus aktiviert den vollständigen Funktionsumfang: C2-Protokolle hochladen, Daten erkunden und Präsentationen erstellen. Sie müssen ein Passwort angeben, um im Red-Team-Modus zu arbeiten. Geben Sie zum Starten des Servers im Red-Team-Modus Folgendes in einem Terminal ein.
     root@kitploit:~

     ./RedEye --redTeam --password <your_password>
     

   • Blue-Team-Modus (Standard) aktiviert eine vereinfachte, schreibgeschützte Benutzeroberfläche zum Anzeigen von Kampagnen, die von einem Red-Team exportiert wurden. Geben Sie zum Starten des Servers im Blue-Team-Modus Folgendes in einem Terminal ein.
     root@kitploit:~

     ./RedEye   # Or simplify double-click the "RedEye" executable 
     

3. Verwenden Sie die Web-App in einem Browser unter http://127.0.0.1:4000. Die RedEye-Binärdatei läuft als Server in einem Terminalfenster und öffnet automatisch die Web-App-Benutzeroberfläche in Ihrem Standardbrowser. Sie müssen das Terminalfenster schließen, um den RedEye-Server zu beenden.
4. Versuchen Sie, den Beispieldatensatz gt.redeye zu importieren, um loszulegen. Oder probieren Sie einen anderen Beispieldatensatz.

macOS-Problem - Wenn Sie RedEye zum ersten Mal ausführen, erhalten Sie möglicherweise einen Fehler "nicht verifiziert". Sie müssen zu "Systemeinstellungen" > "Sicherheit & Datenschutz" > "Allgemein" gehen und auf "Trotzdem öffnen" klicken. Weitere Informationen finden Sie auf der Apple-Support-Seite.

Folgen Sie dem Benutzerhandbuch um mehr über die Funktionen von RedEye zu erfahren.

Red-Team- und Blue-Team-Modi

RedEye verfügt über zwei Modi, die zwei Phasen des Red-Teaming-Prozesses abdecken. Der Red-Team-Modus ermöglicht das Importieren von C2-Daten, das Bearbeiten importierter Daten sowie das Erstellen von Kommentaren und Präsentationen. Nach dem Kuratieren und Kommentieren von Kampagnendaten können Red Teams ihre Kampagne als eigenständige .redeye-Datei exportieren und an ein Blue Team übergeben zur Berichterstellung und Behebung. Der Blue-Team-Modus führt RedEye in einem vereinfachten, schreibgeschützten Modus aus, um kuratierte, von einem Red-Team exportierte Daten anzuzeigen.

Hinweis: Sowohl der Red- als auch der Blue-Team-Modus können über dieselbe RedEye-Anwendungsbinärdatei gestartet werden.

Red Team

Die heruntergeladene Binärdatei besteht aus zwei Teilen:

• Die RedEye-Anwendungsbinärdatei
• Der Ordner parsers mit den Parser-Binärdateien (z.B. der Cobalt-Strike-Log-Parser cobalt-strike-parser)

Es gibt drei Optionen, um RedEye im Red-Team-Modus auszuführen:

1. Führen Sie die heruntergeladene Binärdatei mit den Optionen --redTeam und --password aus:
   root@kitploit:~

   ./RedEye --redTeam --password <your_password>
   

2. Klonen, installieren und führen Sie das Projekt direkt aus (behandelt im Abschnitt Lokaler Build).
3. Docker Compose
   1. Klonen Sie das Repository.
   2. Aktualisieren Sie die Umgebungsvariablen in docker-compose.yml.
   3. Führen Sie aus:
      root@kitploit:~

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

Der Blue-Team-Modus ist eine vereinfachte, schreibgeschützte Benutzeroberfläche zur Anzeige von Daten, die von einem Red Team kuratiert, kommentiert und exportiert wurden. Dieser Modus wird standardmäßig ausgeführt, um den Start für das Blue Team zu vereinfachen.

Die Blue-Team-Version kann durch Doppelklicken der ausführbaren Datei 'RedEye' gestartet werden. RedEye läuft unter http://127.0.0.1:4000 (standardmäßig) und öffnet automatisch Ihren Standardbrowser.

Übergabe der Präsentation an das Blue Team

Wenn sich ein Ordner campaigns im selben Verzeichnis wie die Anwendung RedEye befindet, versucht RedEye, alle .redeye-Kampagnendateien darin zu importieren. Kampagnendateien können im Red-Team-Modus exportiert werden.

Um eine Version für das Blue Team vorzubereiten, befolgen Sie diese beiden Schritte:

1. Kopieren Sie die ausführbare RedEye-Datei in einen leeren Ordner.
2. Erstellen Sie einen campaigns-Ordner im selben Verzeichnis und legen Sie die .redeye-Kampagnendateien hinein, die Sie senden möchten.

Folder/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

.redeye-Dateien können auch im Blue-Team-Modus über den Dialog "+ Kampagne hinzufügen" hochgeladen werden.

Beispieldatensätze

In diesem Repository stehen Beispieldatensätze zum Download zur Verfügung. Diese befinden sich im Ordner ./applications/redeye-e2e/src/fixtures.

• gtdataset – verfügbar als gt.redeye und als Cobalt Strike-Protokolle
• smalldata – verfügbar als smalldata.redeye und als Cobalt Strike-Protokolle
• testdata – verfügbar als Cobalt Strike-Protokolle

Möglicherweise möchten Sie ein Tool wie download-directory.github.io verwenden, um nur einen Ordner eines GitHub-Repositories herunterzuladen.

RedEye Server-Parameter

Geben Sie ./Redeye -h ein, um die Optionen anzuzeigen

-d, --developmentMode [boolean]  put the database and server in development mode
-r, --redTeam [boolean]          run the server in red team mode
--port [number]                  the port the server should be exposed at
-p, --password [string]          the password for user authentication
--parsers [string...]            A list of parsers to use or a flag to use all parsers in the parsers folder
-t, --childProcesses [number]    max # of child processes the parser can use
-h, --help                       display help for command

Sie können die Server-Parameter auch in einer config.json-Datei konfigurieren, die sich neben der RedEye-Binärdatei befindet.

{
	"password": "937038570",
	"redTeam": true,
	"parsers": ["cobalt-strike-parser", "brute-ratel-parser"] // or true/false
}

Lokaler Build

Erforderliche Pakete

• Node.js >= v16
• Installieren Sie yarn: npm install -g yarn
• Führen Sie yarn install aus // Installiert alle Pakete
• Führen Sie entweder:
  1. yarn release:all, um eine Binärdatei für Linux, macOS und Windows zu erstellen
  2. yarn release:(mac|windows|linux) .
• Plattformoptionen:
  • mac
  • windows
  • linux

Entwicklung

Setup

Installieren Sie Node.js >= v16 Installieren Sie yarn global über npm

npm install -g yarn

Installieren Sie Paketabhängigkeiten

yarn install

Schnellstart Entwicklung

Führt das Projekt im Entwicklungsmodus aus

yarn start

Fortgeschrittene Entwicklung

Es wird empfohlen, Server und Client in zwei getrennten Terminals auszuführen

yarn start:client

...in einem anderen Terminal

yarn start:server

Build

um eine Binärdatei für Linux, macOS und Windows zu erstellen

yarn release:all

um für eine bestimmte Plattform zu erstellen, ersetzen Sie all durch den Plattformnamen

yarn release:(mac|windows|linux)

Plattformunterstützung

• Linux
  • Ubuntu 18 und neuer
  • Kali Linux 2020.1 und neuer
  • Andere werden möglicherweise unterstützt, sind aber nicht getestet
• macOS
  • El Capitan und neuer
• Windows
  • Windows 7 und neuer
  • ARM-Unterstützung ist experimentell