BLUESPAWN hilft Blauen Teams, Systeme in Echtzeit gegen aktive Angreifer zu überwachen, indem es anomale Aktivitäten erkennt.

Was ist BLUESPAWN

BLUESPAWN ist ein aktives Verteidigungs- und Endpoint Detection and Response-Tool, das von Verteidigern genutzt werden kann, um bösartige Aktivitäten und Malware schnell zu erkennen, zu identifizieren und zu beseitigen.

Machen Sie mit & tragen Sie zum Projekt bei

Möchten Sie dabei helfen, BLUESPAWN noch effektiver bei der Lokalisierung und Bekämpfung von Malware zu machen? Treten Sie uns auf dem BLUESPAWN Discord-Server bei und helfen Sie bei der Entwicklung oder schlagen Sie einfach eine Funktion vor oder melden Sie einen Fehler. Keine Vorkenntnisse erforderlich – es gibt keinen besseren Weg, etwas über Entwicklung oder Sicherheit zu lernen, als einfach einzusteigen!

Wenn Sie Code beitragen möchten, können Sie einen Blick auf unsere Wiki-Seite zur Einrichtung Ihrer Entwicklungsumgebung werfen. Bitte zögern Sie nicht, uns auf Discord zu kontaktieren, falls Sie bei der Einrichtung auf Probleme stoßen! Wir verfolgen Fehler und neue Funktionen im Allgemeinen über Issues und koordinieren uns im Chat bei Entwicklungsarbeiten.

Warum wir BLUESPAWN entwickelt haben

Wir haben dies aus mehreren Gründen erstellt und als Open Source bereitgestellt:

• Schneller handeln: Wir wollten Werkzeuge, die speziell darauf ausgelegt sind, bösartige Aktivitäten auf einem System schnell zu identifizieren.
• Unsere Abdeckung kennen: Wir wollten genau wissen, was unsere Werkzeuge erkennen können, und uns nicht so sehr auf Blackbox-Software (z. B. Antivirenprogramme) verlassen. Dieser Ansatz hilft uns, unsere Bemühungen besser auf spezifische Arbeitsbereiche zu konzentrieren und Vertrauen in den Status anderer zu haben.
• Besseres Verständnis: Wir wollten die Windows-Angriffsfläche besser verstehen, um sie besser verteidigen zu können.
• Mehr Open-Source-Blue-Team-Software: Während es viele Open-Source-Red-Team-Tools gibt, ist die überwiegende Mehrheit einiger der besten Blue-Team-Tools Closed Source (z. B. AVs, EDRs, SysInternals usw.). Wir sollten uns nicht auf Sicherheit durch Obskurität verlassen müssen, um böswillige Akteure zu verhindern (offensichtlich sehr schwierig, aber etwas, das es anzustreben gilt!).
• Funktionen der Betriebssystem-APIs demonstrieren: Wir haben eine Vielzahl von Microsoft-Dokumentationen, StackOverflow-Antworten und mehr durchforstet, um dies zu erstellen. Hoffentlich finden andere einige der Code-Teile nützlich.

Abdeckung von MITRE ATT&CK

Besuchen Sie diese Karte, um die aktuellen Abdeckungsfähigkeiten zu sehen.

BLUESPAWN ausprobieren

Hinweis: BLUESPAWN befindet sich in aktiver Alpha-Entwicklung, daher funktionieren viele Funktionen möglicherweise noch nicht wie erwartet, und Erkennungen können zu eng gefasst sein oder viele Fehlalarme erzeugen.

Hinweis 2: BLUESPAWN ist in den meisten Fällen für die Ausführung durch einen Sicherheitsexperten gedacht und erkennt daher manchmal nicht bösartige Aktivitäten. Während BLUESPAWN dabei hilft, potenziell schädliche Dinge schnell zu identifizieren, wird erwartet, dass der Benutzer die verfügbaren Informationen nutzt, um die endgültige Entscheidung zu treffen.

0. Schauen Sie sich die Wiki-Seiten an, um mehr über die verfügbaren Befehlszeilenoptionen, Beispiele und mehr zu erfahren.
1. Laden Sie die neueste Version von dieser Seite herunter.
2. Öffnen Sie eine administrative Eingabeaufforderung.
3. Führen Sie den folgenden Befehl aus, um die verfügbaren Optionen anzuzeigen.

Modus „Mitigate“

4. Führen Sie den folgenden Befehl in Ihrer administrativen Eingabeaufforderung aus, um Ihr System auf das Vorhandensein vieler Sicherheitseinstellungen zu überprüfen.

Modus „Hunt“

5. Führen Sie BLUESPAWN in der administrativen Eingabeaufforderung aus, um nach bösartigen Aktivitäten auf dem System zu suchen.

Modus „Monitor“

6. Führen Sie BLUESPAWN in der administrativen Eingabeaufforderung aus, um das System auf bösartige Aktivitäten zu überwachen.

Arbeitsschwerpunkte

BLUESPAWN besteht aus 3 Hauptmodi, die unten aufgeführt sind. Mehrere dieser Module haben Untermmodule (die möglicherweise noch nicht im Code vorhanden sind), wie unten aufgeführt, und alle befinden sich in unterschiedlichen Phasen der Planung, Forschung und Entwicklung. Darüber hinaus werden sie von einer Reihe anderer Module unterstützt.

• Hunt (Sucht nach Hinweisen auf bösartiges Verhalten)

• Mitigate (Verhindert Schwachstellen, indem Sicherheitseinstellungen angewendet werden)

• Monitor (Überwacht das System kontinuierlich auf potenziell bösartiges Verhalten)

• Scan (Wird verwendet, um durch Jagd identifizierte Elemente zu bewerten und eine Entscheidung zu treffen, ob sie verdächtig/Malware sind)

• User (Enthält Programm-Main, IOBase und andere ähnliche Funktionen)

• Util (Enthält eine Sammlung von Modulen, die Kernoperationen unterstützen)

  • Konfigurationen
  • Ereignisprotokolle
  • Dateisystem
  • Protokoll
  • PEs
  • Prozesse

Vorträge, Veröffentlichungen und andere Erwähnungen

Hier sind einige Orte, an denen Sie möglicherweise von dem Projekt gehört haben :)

DEFCON 28 Blue Team Village - Übersicht, Folien

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

BLUESPAWN-Forschungsarbeit an der UVA - Paper, DOI 10.18130/v3-b1n6-ef83

Kontakt

Bei Fragen, Kommentaren oder Anregungen senden Sie uns bitte eine E-Mail an [email protected] oder schreiben Sie uns auf dem BLUESPAWN Discord-Server.

Lizenzierung & Compliance

Der Kerncode von BLUESPAWN ist unter der GNU General Public License (GPL) v3.0 lizenziert.

Beachten Sie, dass das Projekt mehrere andere Bibliotheken integriert, um zusätzliche Funktionen/Erkennungen bereitzustellen. Eine davon ist Florian Roths signature-base, die unter der Creative Commons Attribution-NonCommercial 4.0 International License lizenziert ist. YARA-Regeln aus diesem Projekt werden ohne Änderungen in den Standard-Build integriert. Um BLUESPAWN für kommerzielle Zwecke zu nutzen, müssen Sie alles unter der Zeile "Non-Commercial Only" in dieser Datei entfernen und das Projekt neu kompilieren.

Projektautoren

Mit ❤️ gemacht vom UVA Cyber Defense Team und den anderen großartigen Menschen im Kernteam, die unten aufgeführt sind.

• Jake Smith (Github, Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github, Twitter)
• Will Mayes (Github, Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

Mitwirkende

Dank an alle unten aufgeführten Personen für ihre Beiträge zu BLUESPAWN!

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

Sie möchten helfen? Werfen Sie einen Blick auf die aktuellen Issues, fügen Sie Ideen für neue Funktionen hinzu, schreiben Sie Code und erstellen Sie einen Pull Request!

Besonderer Dank

Wir möchten uns ganz besonders bei den folgenden Projekten bedanken, die uns beim Aufbau von BLUESPAWN geholfen haben:

• Githubs Unterstützung von Open-Source-Projekten, insbesondere die Möglichkeit der unbegrenzten Nutzung von Github Actions.
• Microsofts Dokumentation und Beispiele zur Windows-API.
• Die Defense Information Systems Agency (DISA) des Verteidigungsministeriums für ihre großartige Arbeit bei der Veröffentlichung von STIGs und verschiedenen anderen technischen Sicherheitsleitfäden für Windows.
• @hasherezades PE Sieve, das derzeit unsere Prozessanalyse verwaltet.
• Das YARA-Projekt von VirusTotal, das wir verwenden, um Daten auf bösartige Identifikatoren zu scannen.
• Das Rules-Repository des Yara Rules Projects, das eine große Sammlung von Open-Source-YARA-Regeln enthält.
• Das Open-Source-Projekt signature-base von @Neo23x0, das eine große Sammlung von YARA-Regeln enthält.
• Das ATT&CK-Projekt von MITRE, das ein hervorragendes Framework zusammengestellt hat, um die Taktiken von Angreifern zu betrachten, zu dokumentieren und zu kategorisieren.
• Die Projekte Atomic Red Team und Invoke-AtomicRedTeam von Red Canary, die unglaublich nützlich waren, um die von uns entwickelten Erkennungen zu testen.
• Die Open-Source-Initiative von Amazon bei AWS, die unserem Team einige AWS-Promotionsguthaben zur Verfügung gestellt hat, damit wir BLUESPAWN besser erforschen und testen können.
• Die Windows Event Forwarding Guidance des NSA Cybersecurity Directorate.
• Sean Metcalfs Active Directory Security Blog ADSecurity.
• Geoff Chappells Website zu Windows-Komponenten.
• Matt Graebers beeindruckende Windows-Sicherheitsforschung, einschließlich seines Papers Subverting Trust in Windows.
• Das EDR-Testing-Script-Projekt von @op7ic.
• Das Tool Analysis Result Sheet des Japan Computer Emergency Response Team (JPCERT) für seine Dokumentation von Angreiferverhalten und Korrelation mit Erkennungsmöglichkeiten.
• cxxopts von @jarro2783, das wir zum Analysieren von Befehlszeilenargumenten verwenden.
• Die Bibliothek tinyxml2 von @leethomason, die wir verwenden, um Scan-Informationen im XML-Format auszugeben.