Nuestra Misión

BLUESPAWN ayuda a los equipos azules a monitorear sistemas en tiempo real contra atacantes activos, detectando actividad anómala.

¿Qué es BLUESPAWN?

BLUESPAWN es una herramienta de defensa activa y detección y respuesta en el endpoint que permite a los defensores detectar, identificar y eliminar rápidamente actividad maliciosa y malware en una red.

Involúcrate y Contribuye al Proyecto

¿Quieres ayudar a que BLUESPAWN sea aún más efectivo localizando y deteniendo malware? Únete a nosotros en el servidor de Discord de BLUESPAWN y colabora en el desarrollo o simplemente sugiere una función o reporta un error. No se requiere experiencia: no hay mejor manera de aprender sobre desarrollo o seguridad que lanzarse de lleno.

Si deseas contribuir con código, puedes comenzar consultando nuestra página wiki sobre cómo configurar tu entorno de desarrollo. No dudes en contactarnos en Discord si encuentras algún problema al configurarlo. Generalmente seguimos los errores y nuevas funciones a través de Issues y coordinamos en el chat durante el trabajo de desarrollo.

Por qué creamos BLUESPAWN

Hemos creado y publicado este proyecto como código abierto por varias razones, entre ellas:

• Mover más rápido: Queríamos herramientas diseñadas específicamente para identificar rápidamente actividad maliciosa en un sistema.
• Conocer nuestra cobertura: Queríamos saber exactamente qué podían detectar nuestras herramientas y no depender tanto de software de caja negra (como los antivirus). Este enfoque nos ayuda a enfocar mejor nuestros esfuerzos en líneas de trabajo específicas y tener confianza en el estado de otras.
• Mejor comprensión: Queríamos entender mejor la superficie de ataque de Windows para defenderla mejor.
• Más software de código abierto para el equipo azul: Aunque existen muchas herramientas de equipo rojo de código abierto, la gran mayoría de las mejores herramientas para el equipo azul son de código cerrado (antivirus, EDR, SysInternals, etc.). No deberíamos depender de la seguridad por oscuridad para prevenir actores maliciosos (obviamente es muy difícil, pero es algo por lo que esforzarse).
• Demostrar características de las API del sistema operativo: Revisamos una gran cantidad de documentación de Microsoft, respuestas de StackOverflow y más para crear esto. Esperamos que otros encuentren útil parte del código.

Cobertura de MITRE ATT&CK

Visita este mapa para ver las capacidades de cobertura actuales.

Prueba BLUESPAWN

Nota: BLUESPAWN se encuentra en desarrollo alfa activo, por lo que muchas funciones pueden no funcionar como se espera aún y las detecciones pueden ser de alcance demasiado limitado o generar muchos falsos positivos.

Nota 2: BLUESPAWN está diseñado para ser ejecutado por un profesional de seguridad en la mayoría de los casos y, como tal, detectará actividad no maliciosa en ocasiones. Si bien BLUESPAWN ayuda a identificar rápidamente cosas potencialmente malas, se espera que el usuario utilice la información disponible para tomar la decisión final.

0. Consulta las páginas de la Wiki para aprender más sobre las opciones de línea de comandos, ejemplos y más.
1. Descarga la última versión desde esta página.
2. Abre un Símbolo del sistema como Administrador.
3. Ejecuta el siguiente comando para ver las opciones disponibles:

Modo Mitigate

4. Ejecuta lo siguiente desde tu Símbolo del sistema como Administrador para auditar tu sistema en busca de configuraciones de seguridad:

Modo Hunt

5. Ejecuta BLUESPAWN desde el Símbolo del sistema como Administrador para buscar actividad maliciosa en el sistema:

Modo Monitor

6. Ejecuta BLUESPAWN desde el Símbolo del sistema como Administrador para monitorear actividad maliciosa en el sistema:

Líneas de Esfuerzo

BLUESPAWN consta de 3 modos principales, como se indica a continuación. Varios de estos módulos tienen submódulos (que pueden no estar creados aún en el código base) y todos se encuentran en diferentes etapas de planificación, investigación y desarrollo. Además, están respaldados por otros módulos.

• Hunt (Busca evidencia de comportamiento malicioso)

• Mitigate (Mitiga vulnerabilidades aplicando configuraciones de seguridad)

• Monitor (Monitorea continuamente el sistema en busca de comportamiento potencialmente malicioso)

• Scan (Se utiliza para evaluar elementos identificados por las búsquedas y decidir si son sospechosos/malware)

• User (Contiene el programa principal, IOBase y otras funciones similares)

• Util (Contiene una colección de módulos que soportan operaciones principales)

  • Configuraciones
  • Registros de eventos
  • Sistema de archivos
  • Log
  • PE
  • Procesos

Charlas, Publicaciones y Otras Menciones

Aquí hay algunos lugares donde quizás hayas oído hablar del proyecto :)

DEFCON 28 Blue Team Village - Resumen, Diapositivas

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

Artículo de investigación de BLUESPAWN en UVA - Documento, DOI 10.18130/v3-b1n6-ef83

Contáctanos

Si tienes preguntas, comentarios o sugerencias, no dudes en enviarnos un correo electrónico a [email protected] o envíanos un mensaje en el servidor de Discord de BLUESPAWN.

Licencia y Cumplimiento

El código central de BLUESPAWN está licenciado bajo GNU General Public License (GPL) v3.0.

Ten en cuenta que el proyecto integra varias otras bibliotecas para proporcionar funcionalidades/detecciones adicionales. Una de ellas es la signature-base de Florian Roth, que está licenciada bajo la Creative Commons Attribution-NonCommercial 4.0 International License. Las reglas YARA de este proyecto se integran en la compilación estándar sin cambios. Para usar BLUESPAWN con fines comerciales, debes eliminar todo lo que esté debajo de la línea "Non-Commercial Only" en este archivo y recompilar el proyecto.

Autores del Proyecto

Hecho con ❤️ por el UVA Cyber Defense Team y las otras personas increíbles del equipo de desarrollo principal que se enumeran a continuación:

• Jake Smith (Github, Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github, Twitter)
• Will Mayes (Github, Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

Colaboradores

Gracias a todas las personas enumeradas a continuación por sus contribuciones a BLUESPAWN:

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

¿Quieres ayudar? Echa un vistazo a los problemas actuales, añade ideas para nuevas funciones, escribe código y crea un pull request.

Agradecimientos Especiales

Queremos dar un agradecimiento especial a los siguientes proyectos que nos han ayudado a construir BLUESPAWN:

• El soporte de Github a proyectos de código abierto, especialmente la posibilidad de uso ilimitado de Github Actions.
• La documentación y ejemplos de Microsoft sobre la API de Windows.
• La Agencia de Sistemas de Información de Defensa (DISA) del Departamento de Defensa por su excelente trabajo publicando STIGs y varias otras guías técnicas de seguridad para Windows.
• El PE Sieve de @hasherezade, que actualmente gestiona nuestro análisis de procesos.
• El proyecto YARA de VirusTotal, que utilizamos para escanear datos en busca de identificadores maliciosos.
• El repositorio de Reglas del Proyecto Yara Rules, que contiene una gran colección de reglas YARA de código abierto.
• El proyecto de código abierto signature-base de @Neo23x0, que contiene una gran colección de reglas YARA.
• El Proyecto ATT&CK de MITRE, que ha creado un marco increíble para considerar, documentar y categorizar las tácticas de los atacantes.
• Los proyectos Atomic Red Team y Invoke-AtomicRedTeam de Red Canary, que han sido increíblemente útiles para probar las detecciones que estamos construyendo.
• La Iniciativa de Código Abierto de AWS de Amazon, que ha proporcionado a nuestro equipo algunos créditos promocionales de AWS para ayudarnos a investigar y probar BLUESPAWN de manera más efectiva.
• La Dirección de Ciberseguridad de la NSA y su guía de Reenvío de Eventos de Windows.
• El blog de seguridad de Active Directory ADSecurity de Sean Metcalf.
• El sitio web de Geoff Chappell sobre componentes de Windows.
• La increíble investigación de seguridad de Windows de Matt Graeber, incluido su documento Subverting Trust in Windows.
• El proyecto EDR-Testing-Script de @op7ic.
• La Hoja de Resultados de Análisis de Herramientas del Equipo de Respuesta a Emergencias Informáticas de Japón (JPCERT) por su documentación del comportamiento de los atacantes y su correlación con oportunidades de detección.
• cxxopts de @jarro2783, que utilizamos para analizar argumentos de línea de comandos.
• La biblioteca tinyxml2 de @leethomason, que utilizamos para generar información de escaneo en XML.