Manuka

Beschreibung

Manuka ist ein Open-Source-Intelligence-(OSINT)-Honeypot, der Aufklärungsversuche von Bedrohungsakteuren überwacht und handlungsrelevante Informationen für Blue Teams generiert. Es schafft eine simulierte Umgebung bestehend aus gestaffelten OSINT-Quellen wie Social-Media-Profilen und durchgesickerten Zugangsdaten und verfolgt Anzeichen von Angreiferinteresse, wobei es sich eng an MITREs PRE-ATT&CK-Framework anlehnt. Manuka gibt Blue Teams zusätzliche Einblicke in die Aufklärungsphase vor dem Angriff und erzeugt Frühwarnsignale für Verteidiger.

Obwohl sie sich in Umfang und Raffinesse unterscheiden, konzentrieren sich die meisten traditionellen Honeypots auf Netzwerke. Diese Honeypots decken Angreifer in den Phasen 2 (Waffenerstellung) bis 7 (Aktionen auf Ziele) der Cyber-Kill-Chain auf, unter der Annahme, dass Angreifer bereits das Netzwerk testen.

Manuka führt OSINT-Bedrohungserkennung in Phase 1 (Aufklärung) der Cyber-Kill-Chain durch. Trotz der Investition von Millionen Dollar in Netzwerkverteidigungen können Organisationen leicht durch eine einzige Google-Suche kompromittiert werden. Ein aktuelles Beispiel sind Hacker, die Unternehmensbesprechungen, Therapiesitzungen und College-Kurse durch Zoom-Anrufe, die im offenen Web verblieben sind, offenlegen. Unternehmen müssen diese OSINT-Bedrohungen an ihrem Perimeter erkennen, aber es fehlt ihnen an Werkzeugen, um dies zu tun.

Manuka ist auf Skalierbarkeit ausgelegt. Benutzer können problemlos neue Listener-Module hinzufügen und in die Dockerisierte Umgebung einbinden. Sie können mehrere Kampagnen und Honeypots gleichzeitig koordinieren, um die Honeypot-Oberfläche zu erweitern. Darüber hinaus können Benutzer Manuka schnell anpassen und bereitstellen, um verschiedenen Anwendungsfällen gerecht zu werden. Die Daten von Manuka sind so konzipiert, dass sie einfach in andere Analyse- und Visualisierungswerkzeuge von Drittanbietern im Workflow einer Organisation übertragbar sind.

Das Design eines OSINT-Honeypots stellt aufgrund der Komplexität und der großen Bandbreite an OSINT-Techniken eine neuartige Herausforderung dar. Ein solches Werkzeug würde es Blue Teamern jedoch ermöglichen, in ihrer Cyber-Threat- Intelligence-Strategie nach links zu verschieben (Shift Left).

Dashboard

Tool-Design

Architektur

• Quellen: Mögliche OSINT-Vektoren wie Social-Media-Profile, offengelegte Zugangsdaten und durchgesickerter Quellcode.
• Listener: Server, die Quellen auf Interaktionen mit Angreifern überwachen.
• Treffer: Indikatoren von Interesse wie versuchte Anmeldungen mit durchgesickerten Zugangsdaten und Verbindungen in sozialen Medien.
• Honeypots: Gruppen von Quellen und Listenern, die in einer einzigen Kampagne organisiert sind, welche Treffer im Laufe der Zeit analysiert und verfolgt.

Systemdesign

Das Framework selbst besteht aus mehreren Docker-Containern, die auf einem einzelnen Host bereitgestellt werden können.

• manuka-server: Zentraler Golang-Server, der CRUD-Operationen ausführt und Treffer von Listenern aufnimmt.
• manuka-listener: Modularer Golang-Server, der verschiedene Listener-Rollen übernehmen kann.
• manuka-client: React-Dashboard für Blue Teams zur Verwaltung der Manuka-Ressourcen.

Diese Container werden über einen einzigen docker-compose-Befehl orchestriert.

Entwicklung

In der Entwicklung laufen die Komponenten in ihren jeweiligen Containern auf den folgenden Ports:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Damit Client und Server ohne CORS-Probleme kommunizieren können, leitet eine zusätzliche nginx-Schicht auf localhost:8080 Anfragen an /api/ an manuka-server und / an manuka-listener weiter.

Zusätzlich arbeitet manuka-listener auf den folgenden Ports:

1. 8081 für die gestaffelte Login-Webseite
2. 8082 für die Interaktion mit der gestaffelten E-Mail

Voraussetzungen

Siehe die einzelnen Komponenten-Repositorys für deren Voraussetzungen.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Konfiguration

1. Erstellen Sie eine Datei in docker/secrets/postgres_password mit dem Passwort für Postgres.
2. Richten Sie ein Google-Konto für Gmail ein, um E-Mails von Social-Media-Profilen zu empfangen.
3. Richten Sie Google Cloud Pub/Sub auf https://console.cloud.google.com/cloudpubsub für die Push-E-Mail-Funktionalität ein (Anleitung: https://developers.google.com/gmail/api/guides/push). Die Anleitung enthält auch Anweisungen zum Erstellen eines Cloud-Projekts.
4. Erstellen Sie die Datei docker/secrets/google_credentials.json mit den Anmeldedaten Ihres Projekts.
5. Fügen Sie das erstellte Thema auf Cloud Pub/Sub zu docker/secrets/google_topic hinzu.
6. Besorgen Sie ein OAuth2-Token für Ihr Google-Konto. Manuka benötigt beim ersten Start ein OAuth2-Token. Danach wird es das Token automatisch aktualisieren. Speichern Sie das Token in docker/secrets/google_oauth2_token.json.

Ausführung

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Initialisieren Sie den Gmail-Push-Dienst von manuka-listener:
   1. Initialisieren Sie ngok mit ./ngok http <manuka-listener port> und notieren Sie sich die HTTPS-URL.
   2. Gehen Sie im linken Menü des Google PubSub-Dashboards zu Subscriptions -> <Abonnementname> -> Edit Subscription und ändern Sie die Endpunkt-URL zu <ngok HTTPS-URL>/notifications.
   3. Versuchen Sie, von einem anderen Konto eine E-Mail an das Ziel-Gmail-Konto zu senden. Sie sollten POST /notifications 200 OK auf der ngrok-Konsole und Received push notification auf der Docker-Konsole sehen.

Produktion

In der Produktion sind die folgenden Ports diesen Servern zugeordnet:

1. 8080: manuka-client unter / und manuka-server unter /api
2. 80: manuka-listener-login unter / und manuka-listener-social unter /notifications

Dies ermöglicht, dass jede Domain, die auf Ihren Server zeigt, als gefälschte Login-Seite erscheint, während das Administrations-Dashboard unter Port 8080 verfügbar ist. Darüber hinaus ist das Administrations-Dashboard durch HTTP-Basisauthentifizierung auf der nginx-Ebene geschützt.

Voraussetzungen

Siehe die einzelnen Komponenten-Repositorys für deren Voraussetzungen.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Konfiguration

1. Ähnlich wie bei der Konfiguration für die Entwicklung stellen Sie sicher, dass alle Geheimnisse und Google Cloud-Einstellungen vorhanden sind. Beachten Sie, dass die Abonnement-URL jetzt unter http://DOMAIN/notifications liegen sollte.
2. Weisen Sie Ihren Domainnamen auf Ihre Server-IP.
3. Kopieren Sie docker/nginx/nginx.prod.conf.example nach docker/nginx/nginx.prod.conf und ersetzen Sie examplecompany.com durch Ihre Produktionsdomain.
4. Führen Sie init-letsencrypt.sh aus, um Ihre SSL-Zertifikate zu generieren.

Ausführung

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME und NGINX_PASSWORD werden Ihre Dashboard-Basisauthentifizierung sein.
   2. COMPANY_NAME wird der Name des Unternehmens auf der gefälschten Login-Seite sein.

Derzeit unterstützte Listener

1. Social Listener

   Überwacht soziale Aktivitäten auf Facebook und LinkedIn. Unterstützt derzeit Benachrichtigungen über Netzwerkverbindungsversuche. Beachten Sie, dass die überwachten Social-Media-Konten E-Mail-Benachrichtigungen aktiviert haben sollten. Die entsprechenden E-Mail-Konten, die die E-Mail-Benachrichtigungen von den Social-Media-Plattformen erhalten, sollten so konfiguriert sein, dass sie diese E-Mails an das zentrale Gmail-Konto weiterleiten.

2. Login Listener

   Überwacht versuchte Anmeldungen mit durchgesickerten Zugangsdaten auf der Honeypot-Seite.

Sonstiges

Kategorie

OSINT - Open Source Intelligence

Danksagung

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock