AutoResponder

Herramienta de IR de Carbon Black Response para la caza de amenazas en un entorno

¿Qué es?

AutoResponder es una herramienta diseñada para ayudar a las personas a realizar sus tareas de Respuesta a Incidentes CON la ayuda de las increíbles capacidades de Carbon Black Response y SIN molestar mucho a los equipos de TI/Sistemas/Redes

¿Qué puede hacer?

¿Para quién es?

¿Cómo?

Para aquellos que no están familiarizados con Carbon Black Response, es un producto bastante increíble que ofrece una solución a los casos de Respuesta a Incidentes de una manera única y genial. Carbon Black Response tiene una integración con la API de Python que ayuda a las personas a automatizar sus tareas, ahorrando mucho tiempo. Así que todo lo que ves en este proyecto es solo magia de la API de Python, nada más, nada menos.

Pero, ¿por qué..?

Durante los últimos meses hubo muchos casos de Respuesta a Incidentes que nuestro equipo tuvo que manejar. Aunque lo superamos como unos campeones, noté que nuestro equipo estaba teniendo dificultades para comunicarse con los equipos de TI/Sistemas/Redes del cliente y cuando lo hacían, una simple búsqueda de archivos podía tomar semanas. Debido a que somos socios de Respuesta a Incidentes de Carbon Black y usamos mucho Carbon Black Response en la mayoría de los casos en los que estamos involucrados, decidí escribir una herramienta para ayudar a nuestro equipo a realizar tareas MUY grandes en muy poco tiempo con la mínima ayuda de otros.

¿Cuál es el problema? Hay otras herramientas y personas para ello

Bien, ahora imagina un escenario donde cientos de endpoints han sido comprometidos, el atacante ha establecido persistencia en todos ellos y ha dejado una tonelada de archivos. Y qué coincidencia, todo el equipo de TI decidió irse de vacaciones dejando a nadie en la oficina para manejar el incidente y el Administrador de Dominio quiere presentar un formulario por cada tecla que se presiona en su teclado, eliminando tu capacidad de identificar y erradicar amenazas en sistemas comprometidos. ¡Buena suerte! (Historia real, por cierto)

¿Cómo puedo usarlo?

El código está escrito en python3, por lo que cualquier versión superior a 3.4 servirá

1. Descarga el archivo zip o haz un git clone
2. Instala los módulos requeridos con pip3 install -r requirements.txt
3. Configura la API de Carbon Black => https://cbapi.readthedocs.io/en/latest/
4. Arrasa

Escaneo THOR

Para escanear el repositorio de binarios con THOR solo necesitas

1. Obtén el paquete thor para linux
2. Agrega la licencia válida (No se admite la licencia de prueba)
3. Sube el directorio THOR al servidor CBR que deseas escanear (Maestro en un solo servidor y Minion en un entorno en clúster)
4. Ejecuta el módulo run-thor

Agradecimientos especiales a

Muchas gracias a https://twitter.com/harunglec por ayudar con el módulo de múltiples hilos.

Puedes escanear todo el repositorio de binarios que contienen archivos ejecutables recopilados por CBR con THOR APT Scanner. https://twitter.com/thor_scanner

P.D.

Esto es solo código python, lo que significa que siéntete libre de modificarlo según tus necesidades. Por favor, reporta cualquier problema en => https://github.com/lawiet47/autoresponder/issues

Todos los módulos actuales han sido probados en sensores que tienen Windows como entorno de sistema operativo. Pero también puedes probarlo en linux.