RE:TERNAL

---

---

Hinweis: Noch in Entwicklung, nur zu Testzwecken verwenden und keine Schnittstellen freigeben! Das aktuelle Compose funktioniert noch nicht, nur versuchen, wenn Sie wissen, was Sie tun

RE:TERNAL ist ein zentralisierter Purple-Team-Orchestrierungsdienst zur Verwaltung von C2-Frameworks Dritter. Auf Endpunkten werden Agenten installiert, um verschiedene bekannte Red-Teaming-Techniken auszuführen und so die Blue-Teaming-Fähigkeiten zu testen. Die Simulationen sind dem MITRE ATT&CK-Framework zugeordnet. Dieses Repository enthält die Compose-Datei, um die Reternal-Plattform über Docker einzurichten.

Es gibt eine öffentliche Vorschau, die die neueste Version unter https://reternal.d3vzer0.com ausführt (Github-Anmeldung erforderlich). Das Ausführen/Speichern von Kampagnen und die Interaktion mit den C2-Modulen ist deaktiviert (aus offensichtlichen Gründen ;)).

Reternal Komponenten

Installation und Konfiguration

Dieses Repository enthält Ansible-Deployment-Playbooks zur Automatisierung der lokalen oder remote Installation und Konfiguration von Reternal. Die Anleitung finden Sie im Wiki des Repos unter https://github.com/d3vzer0/reternal-quickstart/wiki.

Entwickler und Kontakt

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

Was hat es mit dem Namen auf sich?

Dieses Projekt wurde so oft neu entwickelt, dass es wahrscheinlich nie wirklich fertig wird. Daher RE (Redo) und Ternal (Eternal).

Besonderer Dank

• Rabobank DeTTECT - Framework zur Abbildung Ihrer Log-Abdeckung auf MITRE ATT&CK. Die Grundlagen wurden für die interne Abdeckungsbewertung und Szenariovorschläge verwendet: https://github.com/rabobank-cdc/DeTTECT
• MITRE ATT&CK - Framework zur Zuordnung von Simulationen: https://attack.mitre.org/wiki/Main_Page
• Uber Metta - Verwendung von Metta-Vorlagen für MITRE-Techniken mit kleinen (optionalen) Anpassungen an das purple_action-Format: https://github.com/uber-common/metta
• https://github.com/olafhartong/sysmon-modular - Splunk-App mit vorgefertigten Abfragen zur Jagd nach schädlichen Ereignissen basierend auf Sysmon
• https://www.splunksecurityessentials.com/ - Unverzichtbare Splunk-App zur Erweiterung Ihrer aktuellen Erkennungsfähigkeiten. Die App analysiert die verfügbaren Quelltypen und bietet passende Tipps/Tricks zur Verbesserung der allgemeinen Nutzung von Splunk für die Jagd und Erkennung.

Beispiele und Screenshots

Alle Funktionen werden auf der Willkommensseite des Wikis unter https://github.com/d3vzer0/reternal-quickstart/wiki dokumentiert. Nachfolgend einige Beispiele der Hauptkomponenten.

Akteur-/Technikzuordnung

Reternal ordnet verfügbare Befehle und Techniken automatisch Akteuren zu. Sie können direkt alle von Akteuren häufig verwendeten Techniken zu Ihrem Aufgabensatz hinzufügen.

Rezept- / Graph-Ersteller

Die Planung von Aufgaben, die auf einem Agenten ausgeführt werden sollen, wird als Graph bezeichnet. Sie können einem Graph manuelle Befehle hinzufügen oder eine der vorhandenen zugeordneten Techniken oder Akteur-TTPs auswählen. Sie können die Reihenfolge der Aufgaben in Ihrem Graph per Drag & Drop ändern.

C2-Interaktion

Reternal fungiert als Middleware und interagiert mit externen C2-Frameworks. Unten wird ein Beispiel gezeigt, wie Reternal externe Listener verwaltet und Stager generiert.

Abdeckungsbewertung (basiert auf Rabo DeTTECT)

Synchronisieren Sie automatisch die verfügbaren Datenquellen mit Ihrer Splunk-Umgebung oder fügen Sie Protokollquellen manuell hinzu. Reternal wird basierend auf Ihrer Abdeckungsbewertung spezifische Kampagnen zur Ausführung vorschlagen.

Mit einer Übersicht Ihrer Abdeckung im Vergleich zu allen ATT&CK-Techniken:

Integrierte Jagdabfragen

Zusätzlich ist eine Liste von Splunk-Abfragen enthalten, um Simulationen automatisch zu validieren. Bald (tm) wird die geplante Kampagne automatisch relevante Abfragen ausführen und einen detaillierten Bericht mit den Ergebnissen präsentieren (z.B. Zeitpunkt des Angriffs vs. Zeitpunkt der Erkennung usw.)

Kampagnenstatus und Dashboard

Das Hauptdashboard zeigt den Status Ihrer laufenden Kampagnen und die erwartete Abdeckung Ihrer Datenquellen im Vergleich zu den Techniken an.