RedEye: Visualización de registros C2 del Red Team

---

⚠️ Este repositorio está actualmente en modo de mantenimiento ⚠️

Este repositorio de GitHub ya no está en desarrollo activo. Revisaremos los problemas y solicitudes de extracción de la comunidad para corregir errores, pero no consideraremos nuevas funcionalidades.

---

RedEye es una herramienta analítica de código abierto desarrollada por CISA y el Pacific Northwest National Laboratory del DOE para ayudar a los Red Teams a visualizar e informar actividades de comando y control. Esta herramienta permite a un operador evaluar y mostrar datos complejos, evaluar estrategias de mitigación y permitir una toma de decisiones efectiva en respuesta a una evaluación del Red Team. La herramienta analiza registros, como los de Cobalt Strike, y presenta los datos en un formato fácil de digerir. Los usuarios pueden etiquetar y agregar comentarios a las actividades mostradas en la herramienta. Los operadores pueden usar el modo de presentación de RedEye para presentar hallazgos y flujo de trabajo a las partes interesadas.

RedEye puede ayudar a un operador a realizar de manera eficiente:

• Reproducir y demostrar las actividades de evaluación del Red Team tal como ocurrieron en lugar de revisar manualmente miles de líneas de texto de registro.
• Mostrar y evaluar datos complejos de evaluación para permitir una toma de decisiones efectiva.
• Obtener una comprensión más clara de la ruta de ataque tomada y los hosts comprometidos durante una evaluación del Red Team o una prueba de penetración.

Red Team	Blue Team

Inicio rápido

1. Descargue los binarios más recientes de RedEye para su sistema operativo* desde la página de Lanzamientos.
2. Elija un modo y Ejecute el servidor
   • Modo Red Team habilita el conjunto completo de funciones: cargar registros C2, explorar datos y crear presentaciones. Debe proporcionar una contraseña para ejecutar en modo Red Team. Para iniciar el servidor en modo Red Team, ejecute lo siguiente en una terminal.

     ./RedEye --redTeam --password <tu_contraseña>
     

   • Modo Blue Team (predeterminado) habilita una interfaz de usuario simplificada y de solo lectura para revisar campañas exportadas por un Red Team. Para iniciar el servidor en modo Blue Team, ejecute lo siguiente en una terminal.

     ./RedEye   # O simplemente haga doble clic en el ejecutable "RedEye"
     

3. Use la aplicación web en un navegador en http://127.0.0.1:4000. El binario de RedEye se ejecuta como un servidor en una ventana de terminal y abrirá automáticamente la interfaz de usuario de la aplicación web en su navegador predeterminado. Debe cerrar la ventana de terminal para salir del servidor RedEye.
4. Intente importar el conjunto de datos de ejemplo gt.redeye para comenzar. O pruebe un conjunto de datos de ejemplo diferente.

Problema de macOS - Al ejecutar RedEye por primera vez, es posible que reciba un error de "no verificado". Debe ir a "Preferencias del Sistema" > "Seguridad y Privacidad" > "General" y hacer clic en "Abrir de todas formas". Más información en la página de soporte de Apple.

Siga la Guía de usuario para conocer el conjunto de funciones de RedEye.

---

Modos Red Team y Blue Team

RedEye tiene dos modos que cubren dos etapas del proceso de Red Teaming. El modo Red Team permite importar datos C2, editar datos importados y hacer comentarios y presentaciones. Después de curar y anotar los datos de la campaña, los Red Teams pueden exportar su campaña como un archivo .redeye independiente y entregarlo a un Blue Team para informes y remediación. El modo Blue Team ejecuta RedEye en un modo simplificado de solo lectura para ver datos curados exportados por un Red Team.

Nota: Tanto el modo Red Team como el Blue Team se pueden iniciar desde el mismo binario de la aplicación RedEye.

Red Team

El binario descargado consta de dos partes:

• El binario de la aplicación RedEye
• La carpeta parsers que contiene binarios de analizadores (ejemplo: el binario analizador de registros de Cobalt Strike cobalt-strike-parser)

Hay tres opciones para ejecutar RedEye en modo Red Team:

1. Ejecute el binario descargado, pasando las opciones --redTeam y la contraseña:

   ./RedEye --redTeam --password <tu_contraseña>
   

2. Clone, instale y ejecute el proyecto directamente (cubierto en la sección Compilación local).
3. Docker Compose
   1. Clone el repositorio
   2. Actualice las variables de entorno en docker-compose.yml.
   3. Ejecute:

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

El modo Blue Team es una interfaz de usuario simplificada y de solo lectura para mostrar datos que han sido curados, anotados y exportados por un Red Team. Este modo se ejecuta por defecto para simplificar el inicio para el Blue Team.

La versión Blue Team se puede ejecutar haciendo doble clic en el binario de la aplicación 'RedEye'. RedEye se ejecuta en http://127.0.0.1:4000 (por defecto) y abrirá automáticamente su navegador predeterminado.

Entrega de presentación Blue Team

Si una carpeta campaigns se encuentra en el mismo directorio que la aplicación RedEye, RedEye intentará importar cualquier archivo de campaña .redeye dentro. Los archivos de campaña se pueden exportar en el modo Red Team.

Para preparar una versión para el Blue Team, siga estos dos pasos:

1. Copie el binario de la aplicación RedEye a una carpeta vacía.
2. Cree una carpeta campaigns en el mismo directorio y coloque los archivos de campaña .redeye que desea enviar dentro.

Carpeta/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

Los archivos .redeye también se pueden cargar en modo Blue Team a través del diálogo "+ Añadir Campaña".

Conjuntos de datos de ejemplo

Hay conjuntos de datos de ejemplo en este repositorio disponibles para descargar. Estos se encuentran en la carpeta ./applications/redeye-e2e/src/fixtures.

• gtdataset - disponible como gt.redeye y como Cobalt Strike Logs
• smalldata - disponible como smalldata.redeye y como Cobalt Strike Logs
• testdata - disponible como Cobalt Strike Logs