RedELK

Das SIEM des Red Teams – ein Tool für Red Teams zur Verfolgung und Alarmierung von Aktivitäten des Blue Teams sowie zur verbesserten Benutzerfreundlichkeit bei Langzeiteinsätzen.

1. Verbesserte Benutzerfreundlichkeit und Übersicht für die Operateure des Red Teams durch die Schaffung eines zentralen Ortes, an dem alle relevanten operativen Logs von mehreren Teamservern gesammelt und angereichert werden. Dies ist hervorragend für die historische Suche während des Einsatzes sowie für eine schreibgeschützte Ansicht des Einsatzes (z. B. für das White Team). Besonders nützlich für Multi-Szenario-, Multi-Teamserver-, Multi-Mitglied- und Multi-Monats-Einsätze. Außerdem extrem einfache Möglichkeiten zum Anzeigen aller Screenshots, IOCs, Tastenanschlagausgaben usw. \o/
2. Erkennung des Blue Teams durch einen zentralen Ort, an dem alle Verkehrs-Logs von Redirectoren gesammelt und angereichert werden. Mit spezifischen Abfragen ist es nun möglich zu erkennen, dass das Blue Team Ihre Infrastruktur untersucht.

Hintergrundinformationen

Weitere Informationen zur Nutzung finden Sie im Wiki oder in den unten aufgeführten Blogbeiträgen und Präsentationen:

• Blog Teil 1: Why we need RedELK
• Blog Teil 2: Getting you up and running
• Blog Teil 3: Achieving operational oversight
• SANS Hackfest 2020: Super charge your Red Team with RedELK Video und Folien
• Hack in Paris 2019: Who watches the Watchmen Video und Folien
• x33fcon 2019: Catching Blue Team OPSEC failures Video und Folien
• BruCon 2018: Using Blue Team techniques in Red Team ops Video und Folien

Installation

Eine manuelle Installationsanleitung finden Sie im Wiki. Es gibt auch von anderen gepflegte Ansible-Playbooks:

• RedELK Server playbook – gepflegt von einem der RedELK-Entwickler
• RedELK Client playbook – gepflegt von einem der RedELK-Entwickler
• ansible-redelk – gepflegt von curi0usJack/TrustedSec

Konzeptioneller Überblick

Hier finden Sie einen konzeptionellen Überblick über die Funktionsweise von RedELK.

Autoren und Beiträge

Dieses Projekt wird entwickelt und gepflegt von:

• Marc Smeets (@MarcOverIP auf Github und Twitter)
• Mark Bergman (@xychix auf Github und Twitter)
• Lorenzo Bernardi (@fastlorenzo auf Github und Twitter)
• Geert Smelt (@Anthirian auf GitHub, @sme.lt auf BlueSky und @gasmelt auf Mastodon)

Wir freuen uns über Beiträge! Beiträge können sowohl in Form von Code als auch in Form von Ideen erfolgen, die Sie für die weitere Entwicklung, Alarme, Verbesserungen der Benutzerfreundlichkeit usw. haben.