SitRep

Erweiterbare, konfigurierbare Host-Triage.

Zweck

SitRep soll eine leichte, erweiterbare Alternative zur Host-Triage bieten. Prüfungen werden zur Laufzeit dynamisch aus eigenständigen Dateien geladen. Dies ermöglicht es Operatoren, bestehende Prüfungen schnell zu ändern oder bei Bedarf neue Prüfungen hinzuzufügen.

Prüfungen sind nach Kategorien gruppiert und können als OpSec-sicher/unsicher markiert werden. Unsichere Prüfungen werden nur geladen, wenn das Flag /AllowUnsafe angegeben wird.

Interessante Ergebnisse werden mit einem "[*]" hervorgehoben.

Prüfungen

Prüfungen sind in Kategorien unterteilt. Dies ermöglicht ihre Anzeige in geeigneten Gruppen. Die folgenden Prüfungen sind derzeit verfügbar:

Umgebung

• CurrentUser.cs – der aktuelle Benutzer
• DomainName.cs – der Domänenname
• HostName.cs – der Hostname
• LoggedOnUsers.cs – alle angemeldeten Benutzer auflisten
• OSVersion.cs – Betriebssystem-Versionsinformationen
• VirtualEnvironment.cs – prüft, ob wir in einer virtualisierten Umgebung arbeiten
• userEnvironmentVariables.cs – erfasst die auf den aktuellen Prozess angewandten Umgebungsvariablen
• SystemEnvironmentVariables.cs – erfasst Systemumgebungsvariablen aus der Registry (HKLM)
• NameServers.cs – ruft die DNS-Server für jede Netzwerkschnittstelle ab

Verteidigung

• AVProcesses.cs – prüft, ob bekannte AV-Prozesse ausgeführt werden

Berechtigungen

• Integrity.cs – ruft die Integritätsstufe des aktuellen Prozesses ab
• LocalAdmin.cs – prüft, ob wir ein lokaler Administrator sind
• Privileges.cs – listet unsere aktuellen Berechtigungen auf
• UACLevel.cs – ruft die UAC-Stufe ab
• UserDomainGroups.cs – ruft die Domänengruppenmitgliedschaften des Benutzers ab
• ComputerDomainGroups.cs – ruft die Domänengruppen ab, deren Mitglied der Computer ist

Software

• InstalledBrowsers.cs – listet die auf dem Endpunkt installierten Browser auf

Anmeldeinformationen

• CredentialManager.cs – ruft im Windows-Anmeldeinformationsmanager gespeicherte Anmeldeinformationen für den aktuellen Benutzer ab

Die folgenden Prüfungen sind derzeit als nicht OpSec-sicher markiert:

• CredentialManager.cs
• ComputerDomainGroups.cs
• UserDomainGroups.cs

Sie sollten diese Konfiguration überprüfen und die OpSec-Tags nach Bedarf aktualisieren.

Deaktivieren von Prüfungen

Alle Prüfungen sind standardmäßig aktiviert. Da Prüfungen jedoch dynamisch geladen werden, ist es möglich, sie zu deaktivieren.

Deaktivieren einer Prüfung

CheckBase enthält eine boolesche Eigenschaft "Enabled", die standardmäßig auf true gesetzt ist. Diese kann in der abgeleiteten Klasse durch Hinzufügen eines Konstruktors gesetzt werden. Das folgende Beispiel deaktiviert die CurrentUser-Prüfung (CurrentUser.cs):

public CurrentUser()
{
    base.Enabled = false;
}

Prüfungen aus dem Build ausschließen

Da Prüfungen dynamisch geladen werden, ist es möglich, eine Prüfung ohne weitere Änderungen aus dem Build auszuschließen. Der einfachste Weg ist, in Visual Studio mit der rechten Maustaste auf die Prüfungsklasse zu klicken und "Aus Projekt ausschließen" zu wählen. Die Prüfung kann wieder hinzugefügt werden, indem aus demselben Kontextmenü "In Projekt einschließen" gewählt wird.

Dieser Ansatz hat den Vorteil, dass der Code aus dem kompilierten Artefakt entfernt wird.

Beispielverwendung

Alle Prüfungen ausführen

SitRep.exe /AllowUnsafe

Nur OpSec-sichere Prüfungen ausführen (Standard)

SitRep.exe

SitRep ist für die Ausführung über execute-assembly (oder Äquivalent) ausgelegt.

Hinzufügen von Prüfungen

Prüfungen erben von CheckBase und implementieren das ICheck-Interface. Dies erzwingt die für das dynamische Laden von Prüfungen erforderlichen Muster. Andere Methoden und Klassen können nach Bedarf hinzugefügt werden.

Das ICheck-Interface stellt die folgenden Eigenschaften und Methoden bereit:

• IsOpsecSafe (bool) – gibt an, ob die Prüfung als OpSec-sicher gilt oder nicht
• DisplayOrder (int) – die Reihenfolge, in der das Ergebnis dieser Prüfung innerhalb ihrer Anzeigegruppe angezeigt wird
• Check() – die Methode, die aufgerufen wird, um die eigentliche Prüfung durchzuführen

Abgeleitete Klassen müssen die in CheckBase definierte Methode "ToString()" überschreiben. Diese Methode wird beim Anzeigen der Ausgabe jeder Prüfung aufgerufen.

Der Zugriff auf native Methoden wird über Klassen im Ordner "NativeMethods" bereitgestellt. Jede Klasse ist nach der DLL benannt, mit der sie interagiert.

Prüfungen sind für ihre eigene Fehlerbehandlung verantwortlich. Aktuelle Prüfungen umschließen die gesamte "Check"-Methode mit einem try-catch-Block; die Verwendung dieses Musters wird empfohlen.

Ein Beispiel für eine leere Prüfung ist unten dargestellt:

using SitRep.Interfaces;
using System;

namespace SitRep.Checks.Software
{
    class ExampleCheck : CheckBase, ICheck
    {
        public bool IsOpsecSafe => true;

        public int DisplayOrder => 1;

        public Enums.Enums.CheckType CheckType => Enums.Enums.CheckType.Credential;

        public void Check()
        {
            try
            {
                throw new NotImplementedException();
            }
            catch
            {
                Message = "Check failed [*]";
            }
        }

        public override string ToString()
        {
            throw new NotImplementedException();
        }
    }
}

Mitwirken

PRs sind willkommen. Bitte stellen Sie sicher, dass Prüfungen eigenständig sind (d. h. nicht von der Ausgabe anderer Prüfungen abhängig). Prüfungen sollten nach Möglichkeit in sich geschlossen sein, wobei der gesamte einmalige Code innerhalb der Prüfungsklasse vorhanden sein sollte.

Warum keine Unit-Tests?

Haben Sie jemals versucht, einen domänengebundenen Windows-Endpunkt zu mocken? Das ist der Grund.

Danksagungen

SitRep verwendet Code von Seatbelt, SharpUp und zufälligen StackOverflow-Beiträgen. Entsprechende Credits wurden hinzugefügt.