invoke-ir/aceAutomatisierte Sammlungs- und Anreicherungsplattform
Die Plattform Automated Collection and Enrichment (ACE) ist eine Sammlung von Tools für Threat Hunter, um Daten von vielen Endpunkten in einem Netzwerk zu sammeln und die Daten automatisch anzureichern. Die Daten werden gesammelt, indem Skripte auf jedem Computer ausgeführt werden, ohne dass Software auf dem Ziel installiert werden muss. ACE unterstützt die Sammlung von Windows-, macOS- und Linux-Hosts.
ACE soll den Prozess der Fernsammlung von Daten in einer Umgebung vereinfachen, indem es Verwaltung von Anmeldeinformationen, Zeitplanung, zentralisierte Skriptverwaltung und Fern-Download von Dateien bietet. ACE ist darauf ausgelegt, ein SIEM zu ergänzen, indem es Daten sammelt und anreichert; die endgültige Analyse ist am besten für SIEM-Tools wie Splunk, ELK oder die vom Analysten bevorzugten Tools geeignet.
ACE entstand aus der Notwendigkeit, Kompromittierungsbewertungen (Compromise Assessments) an Orten mit üblichen Einschränkungen durchzuführen:
ACE hat vier Komponenten: den ACE-Webdienst, den ACE-Nginx-Webproxy, die ACE-SQL-Datenbank und die ACE-RabbitMQ-Nachrichtenwarteschlange. Der Webdienst ist eine RESTful-API, die Anfragen von Clients entgegennimmt, um Scans zu planen und zu verwalten. Die SQL-Datenbank speichert die Konfiguration und Daten aus Scans. Der RabbitMQ-Dienst übernimmt die automatisierte Anreicherung von Daten.
Das ACE-Repository enthält eine Sammlung von PowerShell-Skripten zur Interaktion mit dem ACE-Webdienst, einschließlich des Hinzufügens von Benutzern, der Verwaltung von Anmeldeinformationen, des Hochladens von Sammlungsskripten und der Planung von Scans.
Nach der Bereitstellung der ACE-Server verwenden Sie New-AceUser, um einen neuen ACE-Benutzer zu erstellen.
Entfernen Sie den standardmäßigen Admin-Benutzer mit Remove-AceUser.
Verwenden Sie New-AceCredential, um einen Satz von Anmeldeinformationen einzugeben.
Führen Sie Start-AceDiscovery aus, um automatisch Computer in der Windows-Domäne zu finden.
Führen Sie Start-AceSweep aus, um einen Sweep zu starten, der die ausgewählten Skripte auf den entdeckten Endpunkten ausführt.
Beiträge zu ACE sind stets willkommen.
