AutoResponder

Carbon Black Response IR-Tool zur Bedrohungssuche in einer Umgebung

Was ist das?

AutoResponder ist ein Tool, das Menschen dabei helfen soll, ihre Incident-Response-Aufgaben MIT den fantastischen Fähigkeiten von Carbon Black Response und OHNE große Belästigung der IT-/System-/Netzwerkteams durchzuführen.

Was kann es tun?

Für wen ist es gedacht?

Wie?

Für diejenigen, die nicht mit Carbon Black Response vertraut sind – es ist ein ziemlich erstaunliches Produkt, das eine Lösung für Incident-Response-Fälle auf seine eigene einzigartige und großartige Weise bietet. Carbon Black Response verfügt über eine Python-API-Integration, die es den Benutzern ermöglicht, ihre Aufgaben zu automatisieren – das spart viel Zeit. Alles, was Sie in diesem Projekt sehen, ist also nur Python-API-Magie – nicht mehr, nicht weniger.

Aber warum..?

In den letzten Monaten gab es viele Incident-Response-Fälle, mit denen sich unser Team befassen musste. Obwohl wir wie ein Champion durchgekommen sind, ist mir aufgefallen, dass unser Team Schwierigkeiten hatte, mit den IT-/System-/Netzwerkteams des Kunden zu kommunizieren, und wenn sie es taten, dauerte eine einzelne Dateisuche Wochen. Da wir Carbon Blacks Incident-Response-Partner sind und Carbon Black Response in den meisten Fällen, in die wir involviert sind, stark nutzen, habe ich beschlossen, ein Tool zu schreiben, das unserem Team hilft, sehr GROSSE Aufgaben in kürzester Zeit mit minimaler Hilfe von anderen zu erledigen.

Was ist das große Problem? Es gibt andere Tools und Leute dafür

Okay, stellen Sie sich nun ein Szenario vor, in dem Hunderte von Endpunkten kompromittiert wurden, der Angreifer auf allen eine dauerhafte Präsenz aufgebaut und eine Menge Dateien abgelegt hat. Und was für ein Zufall – das gesamte IT-Team beschließt, in den Urlaub zu fahren, und niemand ist im Büro, um sich mit dem Vorfall zu befassen, und der Domänenadministrator möchte für jeden Tastendruck auf seiner Tastatur ein Formular ausfüllen – was Ihre Fähigkeit, Bedrohungen auf kompromittierten Systemen zu identifizieren und zu beseitigen, zunichte macht. Viel Glück! (Übrigens eine wahre Geschichte)

Wie kann ich es nutzen?

Der Code ist in Python3 geschrieben, also funktioniert jede Version ab 3.4 einwandfrei.

1. Laden Sie das Zip-Archiv herunter oder führen Sie git clone aus
2. Installieren Sie die erforderlichen Module mit pip3 install -r requirements.txt
3. Konfigurieren Sie die Carbon Black API => https://cbapi.readthedocs.io/en/latest/
4. Legen Sie los

THOR-Scan

Um das Binär-Repository mit THOR zu scannen, müssen Sie lediglich

1. Besorgen Sie das THOR-Linux-Paket
2. Fügen Sie die gültige Lizenz hinzu (Testlizenz wird nicht unterstützt)
3. Laden Sie das THOR-Verzeichnis auf den CBR-Server hoch, den Sie scannen möchten (Master auf einem Einzelserver und Minion in einer Cluster-Umgebung)
4. Führen Sie das run-thor-Modul aus

Besonderer Dank an

Vielen Dank an https://twitter.com/harunglec für die Hilfe beim Multithreading-Modul.

Sie können das gesamte Binär-Repository, das von CBR gesammelte ausführbare Dateien enthält, mit dem THOR APT Scanner scannen. https://twitter.com/thor_scanner

P.S.

Dies ist nur ein Python-Code – das bedeutet, Sie können ihn nach Ihren Bedürfnissen anpassen. Bitte melden Sie Probleme unter => https://github.com/lawiet47/autoresponder/issues

Alle aktuellen Module wurden mit Sensoren getestet, die Windows als Betriebssystemumgebung haben. Sie können es aber auch unter Linux versuchen.