RedELK

El SIEM del Equipo Rojo: una herramienta para que los equipos rojos rastreen y alerten sobre las actividades del Equipo Azul, y que mejora la usabilidad en operaciones a largo plazo.

1. Mayor usabilidad y visión general para los operadores del equipo rojo, creando una ubicación central donde se recopilan y enriquecen todos los registros operativos relevantes de múltiples servidores de equipo. Esto es excelente para búsquedas históricas dentro de la operación, así como para ofrecer una vista de solo lectura de la operación (por ejemplo, para el Equipo Blanco). Especialmente útil en operaciones de múltiples escenarios, múltiples servidores de equipo, múltiples miembros y múltiples meses. Además, formas muy sencillas de ver todas las capturas de pantalla, IOCs, salida de pulsaciones de teclas, etc. \o/
2. Detectar al Equipo Azul al tener una ubicación central donde se recopilan y enriquecen todos los registros de tráfico de los redireccionadores. Usando consultas específicas ahora es posible detectar que el Equipo Azul está investigando tu infraestructura.

Información de fondo

Consulta la wiki para obtener información sobre el uso o uno de los artículos del blog o presentaciones enumeradas a continuación:

• Blog parte 1: Por qué necesitamos RedELK
• Blog parte 2: Poniéndote en marcha
• Blog parte 3: Logrando una supervisión operativa
• SANS Hackfest 2020: Potencia tu Equipo Rojo con RedELK video y diapositivas
• Hack in Paris 2019: Quién vigila a los vigilantes video y diapositivas
• x33fcon 2019 Detectando fallos de OPSEC del Equipo Azul video y diapositivas
• BruCon 2018: Usando técnicas del Equipo Azul en operaciones del Equipo Rojo video y diapositivas

Instalación

Consulta la wiki para el manual de instalación. También hay playbooks de Ansible mantenidos por otros:

• Playbook del servidor RedELK - mantenido por uno de los desarrolladores de RedELK
• Playbook del cliente RedELK - mantenido por uno de los desarrolladores de RedELK
• ansible-redelk - mantenido por curi0usJack/TrustedSec

Resumen conceptual

Aquí hay un resumen conceptual de cómo funciona RedELK.

Autores y contribuciones

Este proyecto es desarrollado y mantenido por:

• Marc Smeets (@MarcOverIP en Github y Twitter)
• Mark Bergman (@xychix en Github y Twitter)
• Lorenzo Bernardi (@fastlorenzo en Github y Twitter)
• Geert Smelt (@Anthirian en GitHub, @sme.lt en BlueSky y @gasmelt en Mastodon)

¡Damos la bienvenida a las contribuciones! Las contribuciones pueden ser tanto en código como en ideas que puedas tener para un mayor desarrollo, alarmas, mejoras de usabilidad, etc.