trycatchhcf/dumpsterfire
"Sicherheitsvorfälle in einer Box!" Ein modulares, menügesteuertes, plattformübergreifendes Werkzeug zum Erstellen maßgeschneiderter, zeitverzögerter, verteilter Sicherheitsereignisse. Erstellen Sie einfach benutzerdefinierte Ereignisketten für Blue- & Red Team-Übungen und Sensor-/Alert-Mapping. Red Teams können Täuschungsvorfälle, Ablenkungen und Köder erstellen, um ihre Operationen zu unterstützen und zu skalieren. Bauen Sie Ereignissequenzen ("Narratives") auf, um realistische Szenarien zu simulieren und entsprechende Netzwerk- und Dateisystem-Artefakte zu generieren.
DumpsterFire Toolset - "Security Incidents In A Box!"
(Update 27.05.2020: Ja, ich werde im Sommer 2020 alle meine Github-Projekte auf Python3 migrieren.)
Das DumpsterFire Toolset ist ein modulares, menügesteuertes, plattformunabhängiges Werkzeug zum Erstellen von wiederholbaren, zeitverzögerten, verteilten Sicherheitsereignissen. Erstellen Sie ganz einfach benutzerdefinierte Ereignisketten für Blue-Team-Übungen und Sensor-/Alert-Mapping. Red Teams können Täuschungsvorfälle, Ablenkungen und Lockmittel erstellen, um ihre Operationen zu unterstützen und zu skalieren. Verwandle Tabletop-Übungen auf Papier in kontrollierte "Live Fire"-Range-Events. Baue Ereignissequenzen ("Narrative"), um realistische Szenarien zu simulieren und entsprechende Netzwerk- und Dateisystem-Artefakte zu erzeugen.
Das Toolset ist dynamisch erweiterbar, sodass Sie eigene Fires (Ereignismodule) erstellen und zur enthaltenen Sammlung von Toolset-Fires hinzufügen können. Schreiben Sie einfach Ihr eigenes Fire-Modul und legen Sie es im Verzeichnis FireModules ab. Das DumpsterFire-Toolset erkennt Ihre benutzerdefinierten Fires automatisch beim Start und macht sie verfügbar.
Joe Gervais (TryCatchHCF)
Red Teams und Blue Teams sind in der Regel überlastet. Was fehlt, ist eine Möglichkeit, die Fähigkeiten jedes Teams zu skalieren, um effektivere Red-Team-Aktivitäten und realistischere (und hilfreichere) Blue-Team-/Purple-Team-Übungen zu ermöglichen. Automatisierung zur Rettung! Das DumpsterFire Toolset ist eine plattformunabhängige, menügesteuerte Lösung, mit der Sie ganz einfach benutzerdefinierte Sicherheitsvorfälle erstellen können, indem Sie modulare, verkettete Ereignisse zu einem konsistenten Narrativ kombinieren. Diese Ereignissammlungen (DumpsterFires) können dann als zeitverzögerte, automatisierte Prozesse ausgeführt werden. (Sie können natürlich auch sofort ausgelöst werden.)
Das Ergebnis? Während Sie in einer Besprechung sind oder das Leben genießen, wartet Ihr DumpsterFire auf seinen Datums-/Zeit-Trigger, um zu aktivieren. Bei einem Red-Team-Einsatz, während Sie damit beschäftigt sind, den exponierten Dienst auf einem vergessenen B2B-Server auszunutzen, sind Ihre geklonten und zeitsynchronisierten DumpsterFires damit beschäftigt, das SIEM der Zielorganisation in einem weit entfernten Subnetz zum Leuchten zu bringen und deren Response-Team abzulenken. Blue-Teamer können Tabletop-Übungen auf Papier in "Live Fire"-Range-Events verwandeln, mit kontrollierten, vorab genehmigten DumpsterFire-Ereignisketten, um Sensoren und Alarme auszulösen und Ihre Analysten in ihrer tatsächlichen Betriebsumgebung zu schulen. Purple-Team-Operationen können nun methodische, wiederholbare Ereignisketten ausführen, um ihre Sensor- und Alerting-Positionierung konsistent zu kartieren. Sie können neuartige Szenarien generieren, um Ihre Teams zu testen und zu trainieren und so der Bedrohungslandschaft einen Schritt voraus zu sein, um auf Sicherheitskontingenzen vorbereitet zu sein.
Haben Sie sich je gefragt, wie Ihr Blue Team auf Mirai-Bot-Aktivitäten in Ihrem internen Netzwerk reagieren würde? Jetzt können Sie es herausfinden! (Keine Sorge, das Mirai-Bot-Fire-Modul pivotiert nicht, aber es verwendet dieselben Benutzernamen und Passwörter, um Telnet-Sitzungen im Zielnetzwerk zu brute-forcen.)
Haben Sie kein Red Team, wünschen sich aber eine einfache Möglichkeit, kontrollierte, wiederholbare, maßgeschneiderte Übungen gegen alle Ihre SOC-Schichtteams durchzuführen? Erledigt!
Wünschen Sie sich, Sie könnten einen Red-Team-Einsatz gegen ein entferntes Team unterstützen, das 7 Zeitzonen entfernt ist, ohne um 3:00 Uhr morgens aufzuwachen? Drücken Sie die Schlummertaste!
Wollten Sie schon immer während Ihrer jährlichen Cyberkriegsübung gleichzeitig alle Systeme Ihrer Gegner rickrollen? "Never gonna let you down!"
Siehe unten Beispiele für DumpsterFires. Und natürlich den Abschnitt "Shenanigans".
Siehe meine CactusCon 2017-Folien (im Projekt enthalten). Die Folien sind so geschrieben, dass sie eigenständig sind und Hintergrund, Ansätze, spezifische Anwendungsfälle und mehr bieten. Sie setzen alles in den Kontext und werden Sie auch nicht einschlafen lassen. Es sei denn, sie bringen Sie tatsächlich zum Einschlafen, dann haben Sie wahrscheinlich sowieso etwas Ruhe gebraucht, also kommen wir alle besser davon.
DumpsterFire erstellt ein mit Datum und Zeitstempel versehenes Ereignisprotokoll, damit Red- und Blue Teams Ereignisse koordinieren und verfolgen können, indem sie sie mit dem korrelieren, was von Ihren Sensoren erkannt (oder nicht erkannt) wurde, welche Alarme ausgelöst wurden oder nicht usw. Es ermöglicht den Teams auch zu bestätigen, welche Ereignisse Teil Ihrer Operation/Übung waren, und hält alle aus dem Ärger heraus. Die gesamte Datums-/Zeitverfolgung erfolgt in UTC, sodass Ihre globalen Operationen leicht korreliert werden können, ohne sich Gedanken über Umrechnungen zwischen Zeitzonen und internationalen Datumsgrenzen machen zu müssen.
Die automatisch generierten, mit Datum und Zeitstempel versehenen Ereignisprotokolle bieten auch einen mühelosen Mehrwert für Ihre Einsätze. Erstellen Sie eine Sammlung von DumpsterFires für Ihre Kundenprojekte, zugeschnitten auf deren Angriffsflächen. Am Ende Ihrer Operationen können Sie die Protokolle als Bonus-Purple-Team-Deliverable an Ihren Kunden für die Post-Engagement-Analyse übergeben.
Der Workflow des DumpsterFire-Toolsets ist benutzerfreundlich und robust konzipiert. Alles kann innerhalb des menügesteuerten Skripts dumpsterFireFactory.py erledigt werden. Starten Sie das Skript und das Tool führt Sie durch den Prozess. Sie können zunächst die vorhandenen Fire-Module und gespeicherten DumpsterFires durchsuchen. Wenn Sie bereit sind, Ihre eigenen DumpsterFires zu erstellen, führt Sie das Tool durch den Workflow, um die Arbeit zu erledigen. Schließlich ist es Zeit, Ihr DumpsterFire zu zünden. Nach der Auswahl des gewünschten DumpsterFires überprüfen Sie die Fire-Module und Einstellungen des DumpsterFires. Wenn alles gut aussieht, zünden Sie es!
Wenn Sie ein DumpsterFire erstellen, nachdem Sie alle gewünschten Fire-Module ausgewählt haben, durchläuft das Tool die Liste der Fires. Wenn ein Fire Optionen für benutzerdefinierte Einstellungen hat, ruft das Tool die Configure()-Methode dieses Fires auf, um Ihnen Eingabeaufforderungen für seine Einstellungen zu präsentieren (z. B. die IP-Adresse eines Zielnetzwerks).
Sobald alle Fires konfiguriert sind, haben Sie die Möglichkeit, einzelnen Fires individuelle Zeitverzögerungen zuzuweisen. Dies ermöglicht es dem DumpsterFire, reale Operationen besser nachzuahmen, wenn es seine Ereigniskette ausführt. Zum Beispiel kann das erste Fire verschiedene Hacking-Webseiten besuchen, das nächste Fire lädt dann ein paar gängige Hacking-Tools herunter, bevor das dritte Fire startet, das mit dem Scannen des lokalen Netzwerks beginnt. Wenn dies alles innerhalb von Sekunden nacheinander geschähe, würde kein SOC-Analyst glauben, dass es ein Mensch war. Indem Sie mehrere Minuten oder sogar Stunden zwischen diese Ereignisse einfügen, erzeugen Sie eine realistischere Ereigniskette.
Nachdem alle Fires konfiguriert und optionale individuelle Fire-Verzögerungen zugewiesen wurden, werden Sie aufgefordert, Ihrem DumpsterFire einen Namen zu geben. Verwenden Sie keine Leerzeichen oder seltsamen Sonderzeichen, sondern nur Buchstaben, Zahlen, Unterstriche und Bindestriche.
Voila! Sie haben soeben Ihr erstes DumpsterFire erstellt. Zeit, eines zu zünden!
Wenn Sie bereit sind, ein DumpsterFire zu zünden, zeigt Ihnen das Tool zunächst die Einstellungen des DumpsterFires an. Wenn alles gut aussieht, werden Sie gefragt, ob Sie vor dem Zünden eine Datums-/Zeitverzögerung zuweisen möchten. Die gesamte Datums-/Zeitverarbeitung erfolgt in UTC, um eine konsistente Ausführung unabhängig vom Ausführungsort Ihres DumpsterFires zu gewährleisten. Andernfalls können Sie die Datums-/Zeitverzögerung ablehnen und die Ausführung beginnt sofort nach Ihrer endgültigen Bestätigung.
Während das DumpsterFire ausgeführt wird, erhalten Sie regelmäßig mit Datum und Zeitstempel versehene Rückmeldungen zum Status jedes Fires und zu kritischen Ereignissen. Dies hilft Ihnen nicht nur, den Fortschritt zu verfolgen, sondern liefert auch eine chronologische Aufzeichnung der Aktivitäten Ihres DumpsterFires – entscheidend für die Koordinierung und Deaktivierung Ihrer Ereignisse aus dem allgemeinen Hintergrundrauschen, das jedes SOC überschwemmt. Sie können die chronologische Aufzeichnung auch nach Abschluss Ihrer Operationen an Ihre externen Kunden weitergeben, als Mehrwert-Aufzeichnung Ihrer Aktivitäten, die sie zur Überprüfung ihrer Sensor- und Alarmeinstellungen nutzen können. Alles ohne zusätzlichen Aufwand Ihrerseits.
Der 1. April passiert! Ebenso Cyberkriegsspiele oder der Geburtstag Ihres besten Freundes. Manche Umstände erfordern eine kleine Extrazugabe. Endlich die Peripherie Ihres Gegners bei diesem Netzkriegswettbewerb infiltriert? Feiern Sie mit Shenanigans und sichern Sie sich Ihren Sieg! Bester Freund hat seinen Bildschirm in der Spielenacht nicht gesperrt? Teilen ist Fürsorge! Die Shenanigans von DumpsterFire lassen Sie Ihrer Operation etwas Würze verleihen.
Möchten Sie den Standardbrowser des Systems öffnen und die ganze Rick-Astley-Pracht streamen? Nachdem Sie die Systemlautstärke auf Maximum gestellt haben? Wie wäre es, eine beliebige URL zu öffnen? Oder die Shell-Aliase des Systems so einzustellen, dass das Dateisystem beschädigt erscheint?
dumpsterFireFactory.py - Menügesteuertes Tool zum Erstellen, Konfigurieren, Planen und Ausführen von DumpsterFires
FireModules/ - Verzeichnis, das Unterverzeichnisse von Fires enthält, jedes Unterverzeichnis ist eine bestimmte Kategorie von Fires, um Ihre Fire-Module organisiert zu halten. Fires werden einem DumpsterFire hinzugefügt, um eine Kette von Ereignissen und Aktionen zu erstellen.
DumpsterFires/ - Verzeichnis mit Ihrer Sammlung von DumpsterFires
igniteDumpsterFire.py - Headless-Skript, das in der Befehlszeile mit dem Dateinamen des auszuführenden DumpsterFires aufgerufen wird. Nützlich zum Zünden verteilter DumpsterFires.
testFireModule.py - Hilfsskript zum Unit-Testen der Klassenmethoden Ihrer benutzerdefinierten Fire-Module, ohne den gesamten DumpsterFire Factory-Prozess zum Debuggen durchlaufen zu müssen. Auch nützlich, um ein einzelnes Fire auszuführen, um Ihre Einstellungen zu überprüfen. testFireModule.py fordert Sie bei Bedarf zur Eingabe von Konfigurationseinstellungen auf.
__init__.py Dateien - Erforderlich, damit Python Verzeichnisse als Python-Pakete behandelt; ermöglicht dem DumpsterFire-Toolset, Fire-Module zu finden und zu laden.
Python 2.7.x
$ ./dumpsterFireFactory.py
Das menügesteuerte DumpsterFire Factory-Skript führt Sie durch jeden Schritt, mit kontextbezogener Hilfe auf dem Weg.
In unserem ersten Beispiel haben wir ein DumpsterFire, das entweder eine SOC-Übung oder eine Red-Team-Ablenkung sein könnte. Das DumpsterFire führt zunächst eine Google-Suche nach Hacking-Tools durch. Das nächste Fire öffnet Websitzungen zu verschiedenen Hacking-Webseiten. Als nächstes lädt ein folgendes Fire einige gängige Hacking-Tools herunter. Dann zielt ein Portscan auf das Subnetz ab, gefolgt von Bruteforce-Anmeldeversuchen gegen einen einzelnen Host über Telnet. Das letzte Fire führt eine Reihe von Linux-Befehlen aus. Beachten Sie, dass der Ersteller dieses DumpsterFires zwischen jedem Fire einige Zeitverzögerungen eingefügt hat. Dadurch wirkt der Ereignisablauf realistischer.
Im nächsten Beispiel haben Purple-Teamer ein DumpsterFire erstellt, um ihre Sensor- und Alerting-Konfigurationen zu analysieren und zu validieren. Dieses DumpsterFire führt eine choreografierte Reihe von Portscans durch, die jeweils auf verschiedene Port- und Dienstsammlungen abzielen, mit unterschiedlichen Scanraten. Sie haben zwischen jedem Scan-Fire eine Verzögerung von 5 Minuten eingefügt, um die Isolierung des zugehörigen Datenverkehrs zu vereinfachen. Wenn sie dieses DumpsterFire ausführen, sehen sie außerdem Zeitstempel zu Beginn jedes Fires, die ihnen helfen, die Netzwerkaktivität des Fires von anderen Netzwerkereignissen zu trennen.
Das modulare Design von DumpsterFire gibt Ihnen die Flexibilität, beliebig viele Ereignisketten-Narrative zu erstellen. Fire-Module mit konfigurierbaren Einstellungen ermöglichen es Ihnen, Zielnetzwerke oder -systeme festzulegen usw. Es gibt jedoch einige Fire-Module, die Ihnen sofortige Flexibilität bieten, um Ihre DumpsterFire-Ereignissequenzen erheblich zu erweitern.
Ohne neue FireModule-Klassen zu erstellen, können Sie diese vorhandenen "benutzerdefinierten" Fire-Module nutzen, um Ihre DumpsterFires zu erweitern:
Sie können beliebig viele davon zu Ihrem DumpsterFire hinzufügen, jedes mit seinen eigenen benutzerdefinierten Aktionen. Beispielsweise könnten Sie ein Dutzend 'custom_url.py'-Fire-Module verketten, um ein vollständiges, maßgeschneidertes Surfverhalten aufzubauen. Sie könnten dann verschiedene 'OSCommand/'-Fire-Instanzen haben, die Systembefehle ausführen, um Ihr gewünschtes Ereignisnarrativ weiter zu untermauern. Insbesondere die 'OSCommand/'-Fires bieten Ihnen unglaubliche Flexibilität. Jedes einzelne Fire in Ihrer DumpsterFire-Ereigniskette akzeptiert beliebige Shell-Befehle, die für das Betriebssystem des Hosts geeignet sind:
Beispiel: Linux/Unix (& OSX Terminal)
find /home -name '*.bash_history' -exec cat {} ; ; echo "Never gonna give you up" > rickroll.txt ; wall rickroll.txt
DumpsterFire ist sofort einsatzbereit, aber sein eigentlicher Wert liegt darin, wie einfach Sie die Szenario-Werkzeugkiste von DumpsterFire erweitern können, indem Sie Ihre eigenen benutzerdefinierten Fire-Module erstellen. Durch das Erstellen und Anpassen von Fire-Modulen an Ihre spezifischen Anforderungen können Sie schnell die Arten von DumpsterFire-Szenarien erweitern, die Sie erstellen und ausführen können. Schreiben Sie einfach Ihr neues Fire-Modul und legen Sie es in einem vorhandenen Verzeichnis unter FireModules/ ab, und das DumpsterFire-Toolset lädt es automatisch zur Laufzeit und macht es verfügbar.
Möchten Sie Ihre benutzerdefinierten Fire-Module vollständig in einer eigenen Kategorie trennen? Einfach! Erstellen Sie einfach ein neues Verzeichnis unter FireModules/ und das DumpsterFire-Toolset erkennt es automatisch und macht es als neue Kategorie von Fires verfügbar.
HINWEIS: Stellen Sie sicher, dass Ihr neues Verzeichnis eine leere Datei namens __init__.py enthält, sonst kann der Python-Paketmanager sie nicht finden und DumpsterFire wird sie nicht sehen.
Ihr Fire-Modul erbt von einer Klasse namens FireModule. Als Ausgangspunkt können Sie ein vorhandenes Fire-Modul kopieren. Stellen Sie sicher, dass Sie den Dateinamen und alle Klassenname-Referenzen in der Datei ändern, um sie an Ihr neues Fire anzupassen. (Aktualisieren Sie ggf. auch die Kategorie-Pfadreferenzen in den Konstruktormethoden der Klasse.)
Erforderliche Klassenmethoden:
Configure() - Fordert den Benutzer zur Eingabe auf, füllt die Parameter des FireModules
Description() - Gibt einen String mit einer Beschreibung des FireModules zurück
GetParameters() - Gibt einen einzelnen String der Fire-Parameter zurück
SetParameters( string ) - Nimmt einen einzelnen String entgegen und füllt die Member des Fires
ActivateLogging( boolean ) - Setzt ein Flag, damit das Fire ein Protokoll seiner Aktivitäten erstellt (toll für die Überprüfung) HINWEIS: Bei der Erstveröffentlichung ist das Logging auf stdout immer aktiviert.
Ignite() - Führt die Aktionen des Fires aus
Das Testen von Python-Klassen kann nervig sein, besonders wenn Sie jede Methode der Klasse einzeln testen möchten, was Sie zwingt, sich durch alle Anwendungsfälle der Anwendung zu quälen, um sicherzustellen, dass jede Klassenmethode in der richtigen Reihenfolge ausgeführt wird. Blöd. Deshalb habe ich ein Skript geschrieben und beigefügt, das jede Methode Ihrer neuen von FireModule abgeleiteten Klassen korrekt aufruft und es Ihnen ermöglicht, schnell durch das Debuggen zu rotieren. Gern geschehen. :-) Auch eine großartige Möglichkeit, ein Fire allein auszuführen, um Ihre Einstellungen zu testen, zu sehen, was es tut, usw.
Geben Sie in der Befehlszeile dem Skript testFireModule.py den relativen Dateipfad zu Ihrem benutzerdefinierten Fire-Modul. Das Testskript ruft jede der erforderlichen FireModule-Methoden für Sie in der richtigen Reihenfolge auf (Konfiguration vor dem Speichern abrufen usw.). Das Testskript verwendet keine Ausnahmebehandlung, da Python nur dann nützliche Fehler liefert (wie das Aufzeigen eines fehlenden doppelten Anführungszeichens), wenn es abstürzt. Stürzen Sie ab und verbrennen Sie sich auf dem Weg zu einem erfolgreichen benutzerdefinierten Fire!
Ich habe derzeit etwa 30 weitere Fire-Module in verschiedenen Entwicklungs- und Debug-Phasen. Ich werde sie im Oktober und November ausrollen. Für jedes, das ich erstelle, möchte ich am Ende zwei weitere erstellen, also behalten Sie diesen Bereich für Updates im Auge.
