BlueHound ist ein Open-Source-Tool, das Blue Teams dabei hilft, die Sicherheitsprobleme zu identifizieren, die wirklich zählen. Durch die Kombination von Informationen über Benutzerberechtigungen, Netzwerkzugriff und nicht behobene Schwachstellen zeigt BlueHound die Pfade auf, die Angreifer nehmen würden, wenn sie sich bereits in Ihrem Netzwerk befänden.
Es ist ein Fork von NeoDash, neu konzipiert, um es für defensive Sicherheitszwecke geeignet zu machen.

Um mit BlueHound loszulegen, schauen Sie sich unser Einführungsvideo, Blogbeitrag und Nodes22-Konferenzvortrag an.

BlueHound unterstützt die Darstellung Ihrer Daten als Tabellen, Graphen, Balkendiagramme, Liniendiagramme, Karten und mehr. Es enthält einen Cypher-Editor, um direkt die Cypher-Abfragen zu schreiben, mit denen die Berichte befüllt werden. Sie können Dashboards in Ihrer Datenbank speichern und mit anderen teilen.

Hauptfunktionen

1. Vollautomatisierung: Der gesamte Zyklus aus Sammlung, Analyse und Berichterstellung erfolgt im Wesentlichen mit einem Klick.
2. Community-getrieben: Die BlueHound-Konfiguration kann exportiert und von anderen importiert werden. Wissensaustausch, bewährte Verfahren, Sammlungsmethoden und mehr sind direkt in das Tool integriert.
3. Einfache Berichterstellung: Die Erstellung angepasster Berichte kann intuitiv erfolgen, ohne dass Code geschrieben werden muss.
4. Einfache Anpassung: Jede benutzerdefinierte Sammlungsmethode kann in BlueHound hinzugefügt werden. Benutzer können sogar eigene benutzerdefinierte Parameter oder benutzerdefinierte Symbole für ihre Graphen hinzufügen.

Erste Schritte

ROST-ISO

BlueHound kann als Teil des ROST-Images verwendet werden, das bereits alles Nötige (BlueHound, Neo4j, BloodHound und einen Beispieldatensatz) vorinstalliert enthält.
Laden Sie ROST, indem Sie eine neue virtuelle Maschine erstellen und sie von der ISO installieren, wie Sie es bei einem neuen Windows-Host tun würden.

BlueHound-Binärdatei

Wenn Sie bereits eine Neo4j-Instanz betreiben, können Sie eine vorkompilierte Version von BlueHound von unserer Release-Seite herunterladen. Laden Sie einfach die für Ihr Betriebssystem passende ZIP-Datei herunter, entpacken Sie sie und führen Sie die Binärdatei aus.

Verwendung von BlueHound

1. Verbinden Sie sich mit Ihrem Neo4j-Server.
2. Laden Sie SharpHound, ShotHound und den Vulnerability Scanner report parser herunter.
3. Verwenden Sie den Abschnitt Datenimport, um Daten zu sammeln und in Ihre Neo4j-Datenbank zu importieren.
4. Sobald Daten geladen sind, können Sie den Reiter Konfigurationen verwenden, um die grundlegenden Informationen einzurichten, die von den Abfragen verwendet werden (z. B. Domain-Admins-Gruppe, Kronjuwelen-Server).
5. Schließlich kann der Abschnitt Abfragen verwendet werden, um die Berichte zu erstellen.

BlueHound-Anleitung

Datensammlung

Der Abschnitt Werkzeuge für den Datenimport kann verwendet werden, um Daten mit einem Klick zu sammeln. Standardmäßig ist BlueHound mit SharpHound, ShotHound und dem Vulnerability-Scanner-Skript vorkonfiguriert. Für weitere Datensammlungen können zusätzliche Werkzeuge hinzugefügt werden. So geht's los:

1. Laden Sie die relevanten Werkzeuge mit dem Globus-Symbol herunter.
2. Konfigurieren Sie den Werkzeugpfad und die Argumente für jedes Werkzeug.
3. Führen Sie die Werkzeuge aus.

Die integrierten Werkzeuge können so konfiguriert werden, dass die Ergebnisse automatisch in Ihre Neo4j-Instanz hochgeladen werden.

Abfragen ausführen und anzeigen

Um Ergebnisse für ein Diagramm zu erhalten, verwenden Sie entweder das Aktualisieren-Symbol, um eine bestimmte Abfrage auszuführen, oder den Bereich Abfrage-Ausführer, um Abfragen in Stapeln auszuführen. Die Ergebnisse werden auch nach dem Schließen von BlueHound zwischengespeichert und können erneut ausgeführt werden, um aktualisierte Ergebnisse zu erhalten.
Einige Diagramme haben ein Info-Symbol, das die Abfrage erklärt und/oder Links zu weiteren Informationen bereitstellt.

Abfragen hinzufügen und bearbeiten

Sie können die Abfrage für neue und/oder vorhandene Diagramme bearbeiten, indem Sie das Einstellungen-Symbol im oberen rechten Bereich des Diagramms verwenden. Hier können Sie alle Parameter verwenden, die mit einem Param Select-Diagramm konfiguriert wurden, sowie jeden Edge Filtering-String (siehe Abschnitt unten).

Kantenfilterung

Mit dem Bereich Kantenfilterung können Sie bestimmte Beziehungstypen für alle Abfragen ausfiltern, die den entsprechenden String in ihrer Abfrage verwenden. Beispielsweise kann „:FILTERED_EDGES“ verwendet werden, um nach allen Auswahlfiltern zu filtern.
Sie können auch nach einer bestimmten Kategorie filtern (siehe Info-Symbol) oder sogar Ihre eigenen benutzerdefinierten Kantenfilter definieren.

Konfiguration importieren und exportieren

Die Abschnitte Konfiguration exportieren und Konfiguration importieren können verwendet werden, um Ihr Dashboard und Ihre Konfigurationen zu speichern und als Backup zu laden, und können sogar zwischen Benutzern geteilt werden, um zusammenzuarbeiten und aufschlussreiche Abfragen zur Sicherheits-Community beizutragen. Keine Sorge, Ihre Anmeldeinformationen und Daten werden nicht exportiert.

Hinweis: Alle Argumente für Datenimport-Werkzeuge werden ebenfalls exportiert. Stellen Sie daher sicher, dass Sie alle Geheimnisse entfernen, bevor Sie Ihre Konfiguration teilen.

Einstellungen

Im Bereich Einstellungen können Sie einige globale Grenzwerte für die Abfrageausführung festlegen – maximale Abfragezeit und eine Begrenzung der zurückgegebenen Ergebnisse.

Technische Informationen

BlueHound ist ein Fork von NeoDash, erstellt mit React und use-neo4j. Es verwendet charts, um einige der Visualisierungen zu betreiben. Sie können NeoDash auch mit Ihren eigenen Visualisierungen erweitern. Lesen Sie den Entwicklerleitfaden im Projekt-Repository.

Entwicklerleitfaden

Ausführen und Erstellen mit npm

BlueHound wurde mit React erstellt. Sie benötigen eine installierte npm, um die Web-App auszuführen.

Verwenden Sie eine aktuelle Version von npm und node, um BlueHound zu erstellen. Die Anwendung wurde mit npm 8.3.1 und node v17.4.0 getestet.

So führen Sie die Anwendung im Entwicklungsmodus aus:

• Klonen Sie dieses Repository.
• Öffnen Sie ein Terminal und navigieren Sie zu dem soeben geklonten Verzeichnis.
• Führen Sie npm install aus, um die erforderlichen Abhängigkeiten zu installieren.
• Führen Sie npm run dev aus, um die App im Entwicklungsmodus auszuführen.
• Die Anwendung sollte unter http://localhost:3000 verfügbar sein.

So erstellen Sie die App für die Produktion:

• Führen Sie die obigen Schritte aus, um das Repository zu klonen und die Abhängigkeiten zu installieren.
• Führen Sie npm run build aus. Dadurch wird ein build-Ordner in Ihrem Projektverzeichnis erstellt.
• Stellen Sie den Inhalt des build-Ordners auf einem Webserver bereit. Anschließend sollten Sie die Web-App ausführen können.

Fragen / Vorschläge

Wir sind immer offen für Ideen, Kommentare und Vorschläge zu zukünftigen Versionen von BlueHound. Wenn Sie also Ideen haben, zögern Sie nicht, uns unter [email protected] zu kontaktieren oder ein Issue/Pull Request auf GitHub zu eröffnen.