retrospected/purplekeepBereitstellung von Azure-Pipelines zur Erstellung einer Infrastruktur und Durchführung von Atomic-Tests.
Mit der rasant zunehmenden Vielfalt an Angriffstechniken und einem gleichzeitigen Anstieg der Anzahl von Erkennungsregeln, die von EDRs (Endpoint Detection and Response) angeboten oder selbst erstellt werden, hat sich der Bedarf an ständigen Funktionstests der Erkennungsregeln gezeigt. Das manuelle erneute Ausführen dieser Angriffe und der Abgleich mit Erkennungsregeln ist jedoch eine arbeitsintensive Aufgabe, die eine Automatisierung verdient.
Um diese Herausforderung zu bewältigen, habe ich „PurpleKeep" entwickelt, eine Open-Source-Initiative, die das automatisierte Testen von Erkennungsregeln erleichtern soll. Dabei werden die Fähigkeiten des Atomic Red Team-Projekts genutzt, das die Simulation von Angriffen gemäß MITRE TTPs (Tactics, Techniques, and Procedures) ermöglicht. PurpleKeep erweitert die Simulation dieser TTPs, um als Ausgangspunkt für die Bewertung der Wirksamkeit von Erkennungsregeln zu dienen.
Die Automatisierung des Prozesses der Simulation einer oder mehrerer TTPs in einer Testumgebung bringt bestimmte Herausforderungen mit sich, darunter die Kontamination der Plattform nach mehreren Simulationen. PurpleKeep zielt jedoch darauf ab, dieses Hindernis zu überwinden, indem es den Simulationsprozess optimiert und die Erstellung und Instrumentierung der Zielplattform erleichtert.
Ursprünglich als Proof of Concept entwickelt, dient PurpleKeep als End-to-End-Validierungsplattform für Erkennungsregeln, die für eine Azure-basierte Umgebung konzipiert ist. Es wurde in Kombination mit der automatischen Bereitstellung von Microsoft Defender for Endpoint als bevorzugte EDR-Lösung getestet. PurpleKeep unterstützt auch Sicherheits- und Überwachungsrichtlinienkonfigurationen, sodass Benutzer die gewünschte Endpunkt-Umgebung nachbilden können.
Um Analyse und Überwachung zu erleichtern, integriert PurpleKeep Azure Monitor und Log Analytics-Dienste, um die Simulationsprotokolle zu speichern und eine weitere Korrelation mit allen Ereignissen und/oder Warnmeldungen zu ermöglichen, die auf derselben Plattform gespeichert sind.
TLDR: PurpleKeep bietet eine Angriffssimulationsplattform, die als Ausgangspunkt für Ihre End-to-End-Validierung von Erkennungsregeln in einer Azure-basierten Umgebung dient.
Das Projekt basiert auf Azure Pipelines und erfordert Folgendes, um ausgeführt werden zu können:
Sie können eine Sicherheits- und/oder Überwachungsrichtliniendatei bereitstellen, die geladen wird, um Ihre Gruppenrichtlinienkonfigurationen nachzubilden. Verwenden Sie die Secure File-Option der Bibliothek in Azure DevOps, um sie für Ihre Pipelines zugänglich zu machen.
Weitere Informationen zu den konfigurierbaren Elementen finden Sie in der Variablen-Datei.
Die Bereitstellung der Infrastruktur erfolgt über die Azure Pipeline, die folgende Schritte ausführt:
Derzeit werden nur die Atomics aus dem öffentlichen Repository unterstützt. Die Pipeline akzeptiert eine Technik-ID oder eine durch Kommas getrennte Liste von Techniken, zum Beispiel:
Die Protokolle der Simulation werden in die Tabelle AtomicLogs_CL des Log Analytics Workspace aufgenommen.
Es gibt derzeit zwei Möglichkeiten, die Simulation auszuführen:
Diese Pipeline stellt nach der Simulation jeder TTP eine neue Plattform bereit. Der Log Analytics Workspace behält die Protokolle jedes Durchlaufs.
Warnung: Dadurch wird eine große Anzahl von Hosts in Ihr EDR eingebunden.
Eine neue Infrastruktur wird nur zu Beginn der Pipeline bereitgestellt. Alle TTPs werden auf dieser Instanz simuliert. Dies ist der schnellste Weg zur Simulation und verhindert die Einbindung vieler Geräte. Allerdings birgt die Durchführung vieler Simulationen in derselben Umgebung das Risiko der Kontamination und macht die Simulationen weniger stabil und vorhersagbar.
