RedEye: Visualización de registros C2 del Red Team

⚠️ Este repositorio está actualmente en modo de mantenimiento ⚠️

Este repositorio de GitHub ya no está en desarrollo activo. Revisaremos los problemas y solicitudes de extracción de la comunidad para corregir errores, pero no consideraremos nuevas funcionalidades.

RedEye es una herramienta analítica de código abierto desarrollada por CISA y el Pacific Northwest National Laboratory del DOE para ayudar a los Red Teams a visualizar e informar actividades de comando y control. Esta herramienta permite a un operador evaluar y mostrar datos complejos, evaluar estrategias de mitigación y permitir una toma de decisiones efectiva en respuesta a una evaluación del Red Team. La herramienta analiza registros, como los de Cobalt Strike, y presenta los datos en un formato fácil de digerir. Los usuarios pueden etiquetar y agregar comentarios a las actividades mostradas en la herramienta. Los operadores pueden usar el modo de presentación de RedEye para presentar hallazgos y flujo de trabajo a las partes interesadas.

RedEye puede ayudar a un operador a realizar de manera eficiente:

• Reproducir y demostrar las actividades de evaluación del Red Team tal como ocurrieron en lugar de revisar manualmente miles de líneas de texto de registro.
• Mostrar y evaluar datos complejos de evaluación para permitir una toma de decisiones efectiva.
• Obtener una comprensión más clara de la ruta de ataque tomada y los hosts comprometidos durante una evaluación del Red Team o una prueba de penetración.

Red Team	Blue Team

Inicio rápido

1. Descargue los binarios más recientes de RedEye para su sistema operativo* desde la página de Lanzamientos.
2. Elija un modo y Ejecute el servidor
   • Modo Red Team habilita el conjunto completo de funciones: cargar registros C2, explorar datos y crear presentaciones. Debe proporcionar una contraseña para ejecutar en modo Red Team. Para iniciar el servidor en modo Red Team, ejecute lo siguiente en una terminal.
     root@kitploit:~

     ./RedEye --redTeam --password <tu_contraseña>
     

   • Modo Blue Team (predeterminado) habilita una interfaz de usuario simplificada y de solo lectura para revisar campañas exportadas por un Red Team. Para iniciar el servidor en modo Blue Team, ejecute lo siguiente en una terminal.
     root@kitploit:~

     ./RedEye   # O simplemente haga doble clic en el ejecutable "RedEye"
     

3. Use la aplicación web en un navegador en http://127.0.0.1:4000. El binario de RedEye se ejecuta como un servidor en una ventana de terminal y abrirá automáticamente la interfaz de usuario de la aplicación web en su navegador predeterminado. Debe cerrar la ventana de terminal para salir del servidor RedEye.
4. Intente importar el conjunto de datos de ejemplo gt.redeye para comenzar. O pruebe un conjunto de datos de ejemplo diferente.

Problema de macOS - Al ejecutar RedEye por primera vez, es posible que reciba un error de "no verificado". Debe ir a "Preferencias del Sistema" > "Seguridad y Privacidad" > "General" y hacer clic en "Abrir de todas formas". Más información en la página de soporte de Apple.

Siga la Guía de usuario para conocer el conjunto de funciones de RedEye.

Modos Red Team y Blue Team

RedEye tiene dos modos que cubren dos etapas del proceso de Red Teaming. El modo Red Team permite importar datos C2, editar datos importados y hacer comentarios y presentaciones. Después de curar y anotar los datos de la campaña, los Red Teams pueden exportar su campaña como un archivo .redeye independiente y entregarlo a un Blue Team para informes y remediación. El modo Blue Team ejecuta RedEye en un modo simplificado de solo lectura para ver datos curados exportados por un Red Team.

Nota: Tanto el modo Red Team como el Blue Team se pueden iniciar desde el mismo binario de la aplicación RedEye.

Red Team

El binario descargado consta de dos partes:

• El binario de la aplicación RedEye
• La carpeta parsers que contiene binarios de analizadores (ejemplo: el binario analizador de registros de Cobalt Strike cobalt-strike-parser)

Hay tres opciones para ejecutar RedEye en modo Red Team:

1. Ejecute el binario descargado, pasando las opciones --redTeam y la contraseña:
   root@kitploit:~

   ./RedEye --redTeam --password <tu_contraseña>
   

2. Clone, instale y ejecute el proyecto directamente (cubierto en la sección Compilación local).
3. Docker Compose
   1. Clone el repositorio
   2. Actualice las variables de entorno en docker-compose.yml.
   3. Ejecute:
      root@kitploit:~

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

El modo Blue Team es una interfaz de usuario simplificada y de solo lectura para mostrar datos que han sido curados, anotados y exportados por un Red Team. Este modo se ejecuta por defecto para simplificar el inicio para el Blue Team.

La versión Blue Team se puede ejecutar haciendo doble clic en el binario de la aplicación 'RedEye'. RedEye se ejecuta en http://127.0.0.1:4000 (por defecto) y abrirá automáticamente su navegador predeterminado.

Entrega de presentación Blue Team

Si una carpeta campaigns se encuentra en el mismo directorio que la aplicación RedEye, RedEye intentará importar cualquier archivo de campaña .redeye dentro. Los archivos de campaña se pueden exportar en el modo Red Team.

Para preparar una versión para el Blue Team, siga estos dos pasos:

1. Copie el binario de la aplicación RedEye a una carpeta vacía.
2. Cree una carpeta campaigns en el mismo directorio y coloque los archivos de campaña .redeye que desea enviar dentro.

Carpeta/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

Los archivos .redeye también se pueden cargar en modo Blue Team a través del diálogo "+ Añadir Campaña".

Conjuntos de datos de ejemplo

Hay conjuntos de datos de ejemplo en este repositorio disponibles para descargar. Estos se encuentran en la carpeta ./applications/redeye-e2e/src/fixtures.

• gtdataset - disponible como gt.redeye y como Cobalt Strike Logs
• smalldata - disponible como smalldata.redeye y como Cobalt Strike Logs
• testdata - disponible como Cobalt Strike Logs

Es posible que desee usar una herramienta como download-directory.github.io para descargar solo una carpeta de un repositorio de GitHub

Parámetros del servidor RedEye

Escriba ./Redeye -h para ver las opciones

-d, --developmentMode [boolean]  put the database and server in development mode
-r, --redTeam [boolean]          run the server in red team mode
--port [number]                  the port the server should be exposed at
-p, --password [string]          the password for user authentication
--parsers [string...]            A list of parsers to use or a flag to use all parsers in the parsers folder
-t, --childProcesses [number]    max # of child processes the parser can use
-h, --help                       display help for command

también puede configurar los parámetros del servidor en un archivo config.json que se encuentra junto al binario RedEye

{
	"password": "937038570",
	"redTeam": true,
	"parsers": ["cobalt-strike-parser", "brute-ratel-parser"] // or true/false
}

Compilación local

Paquetes requeridos

• Node.js >= v16
• Instale yarn: npm install -g yarn
• Ejecute: yarn install // Instala todos los paquetes
• Ejecute:
  1. yarn release:all para compilar un binario para Linux, macOS y Windows
  2. yarn release:(mac|windows|linux) .
• Opciones de plataforma:
  • mac
  • windows
  • linux

Desarrollo

Configuración

Instale Node.js >= v16 Instale yarn globalmente a través de npm

npm install -g yarn

Instale las dependencias de paquetes

yarn install

Inicio rápido de desarrollo

Ejecuta el proyecto en modo de desarrollo

yarn start

Desarrollo avanzado

Se recomienda ejecutar el servidor y el cliente en dos terminales separadas

yarn start:client

...en otra terminal

yarn start:server

Compilar

para compilar un binario para Linux, macOS y Windows

yarn release:all

para compilar para una plataforma específica, reemplace all con el nombre de la plataforma

yarn release:(mac|windows|linux)

Soporte de plataforma

• Linux
  • Ubuntu 18 y posteriores
  • Kali Linux 2020.1 y posteriores
  • Otros pueden ser compatibles pero no han sido probados
• macOS
  • El Capitan y posteriores
• Windows
  • Windows 7 y posteriores
  • El soporte ARM es experimental