caronte$

Caronte es una herramienta para analizar el flujo de red durante eventos de capture the flag de tipo ataque/defensa. Reensambla los paquetes TCP capturados en archivos pcap para reconstruir las conexiones TCP y analiza cada conexión en busca de patrones definidos por el usuario. Los patrones se pueden definir como expresiones regulares o usando reglas específicas de protocolo. Los flujos de conexión se guardan en una base de datos y se pueden visualizar con la aplicación web. También se proporcionan API REST.

Características

• instalación inmediata con docker-compose
• sin archivo de configuración, los ajustes se pueden cambiar a través de la GUI o la API
• los pcaps a analizar se pueden cargar mediante curl, local o remotamente, o a través de la GUI
  • también es posible descargar los pcaps desde la GUI y ver todas las estadísticas de análisis para cada pcap
• se pueden crear reglas para identificar conexiones que contengan ciertas cadenas
  • el emparejamiento de patrones se realiza mediante expresiones regulares (regex)
  • también se admiten regex en formato UTF-8 y Unicode
• las conexiones se pueden etiquetar por tipo de servicio, identificado por el número de puerto
  • a cada servicio se le puede asignar un color diferente
• capacidad de filtrar conexiones por direcciones, puertos, dimensiones, tiempo, duración, reglas coincidentes
• una línea de tiempo muestra estadísticas con diferentes métricas muestreadas por minuto
  • algunas de estas métricas son connections_per_service, client_bytes_per_service, server_bytes_per_service, duration_per_service, matched_rules
    • con la métrica matched_rules se puede ver la relación entre flag_in y flag_out
  • la línea de tiempo contiene una ventana deslizante que se puede usar para buscar conexiones en un determinado intervalo de tiempo
• búsqueda avanzada por término, término negado, frase exacta, regex, regex negado
  • las búsquedas realizadas se guardan para repetirse instantáneamente las siguientes veces
• las conexiones HTTP detectadas se reconstruyen automáticamente
  • las solicitudes HTTP se pueden replicar mediante curl, fetch y python requests
  • las respuestas HTTP comprimidas (gzip/deflate) se descomprimen automáticamente
• capacidad de exportar y ver el contenido de las conexiones en varios formatos, incluyendo hex y base64

Instalación

Hay dos formas de instalar Caronte:

• con Docker y docker-compose, la forma más rápida y sencilla
• instalando manualmente las dependencias y compilando el proyecto

Ejecutar con Docker

Lo único que hay que hacer es:

• clonar el repositorio, con git clone https://github.com/eciavatta/caronte.git
• dentro de la carpeta caronte, ejecutar docker-compose up -d
• esperar a que la imagen se compile y abrir el navegador en http://localhost:3333

Instalación manual

Lo primero que hay que hacer es instalar las dependencias:

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

A continuación, debes compilar el proyecto, que consta de dos partes:

• el backend, que se puede compilar con go mod download && go build
• el frontend, que se puede compilar con cd frontend && yarn install && yarn build

Antes de ejecutar Caronte, inicia una instancia de MongoDB https://docs.mongodb.com/manual/administration/install-community/ que no tenga autenticación. Ten cuidado de no exponer el puerto de MongoDB en la interfaz pública.

Ejecuta el binario con ./caronte. Las opciones de configuración disponibles son:

-bind-address    address where server is bind (default "0.0.0.0")
-bind-port       port where server is bind (default 3333)
-db-name         name of database to use (default "caronte")
-mongo-host      address of MongoDB (default "localhost")
-mongo-port      port of MongoDB (default 27017)

Configuración

La configuración se realiza en tiempo de ejecución en el primer arranque a través de la interfaz gráfica o mediante API. Es necesario configurar:

• server_address: la dirección IP de la máquina vulnerable. Debe ser la dirección de destino de todas las conexiones en los pcaps. Si cada servicio vulnerable tiene su propia IP, este parámetro también acepta una dirección CIDR. La dirección puede ser IPv4 o IPv6.
• flag_regex: la expresión regular que coincide con una flag. Generalmente se proporciona en la página de reglas de la competición.
• auth_required: si es true, se habilita una autenticación básica para proteger el analizador.
• un array opcional accounts, que contiene las credenciales de los usuarios autorizados.

Documentación

El backend, escrito en lenguaje Go, está diseñado como un servicio. Expone API REST que son utilizadas por el frontend escrito con React. La lista de API disponibles con su explicación está disponible aquí: https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

Capturas de pantalla

A continuación se muestran algunas capturas de pantalla que ilustran las principales características de la herramienta.

Ventana principal, con lista de conexiones y contenido del flujo

Ventana principal, con la línea de tiempo expandida

Vista de reglas y servicios

Vista de búsquedas y pcaps

Licencia

caronte fue creado por Emiliano Ciavatta y está licenciado bajo la licencia GPL-3.0.