Slack Watchman

Monitorización y enumeración de Slack en busca de secretos expuestos

Acerca de Slack Watchman

Slack Watchman es una aplicación que utiliza la API de Slack para encontrar datos potencialmente sensibles expuestos en un espacio de trabajo de Slack, y para enumerar otra información útil para equipos rojos, azules y morados.

Puedes encontrar más información sobre Slack Watchman en mi blog.

Características

Detección de secretos

Slack Watchman busca:

• Claves de API, tokens y cuentas de servicio
  • AWS, Azure, GCP, API de Google, Slack (claves y webhooks), Twitter, Facebook, GitHub y más
  • Claves privadas genéricas
  • Tokens de acceso, tokens Bearer, secretos de cliente, tokens privados
• Archivos
  • Archivos de certificados
  • Archivos potencialmente interesantes/maliciosos/sensibles (.docm, .xlsm, .zip, etc.)
  • Archivos ejecutables
  • Archivos de llavero (keychain)
  • Archivos de configuración para servicios populares (Terraform, Jenkins, OpenVPN y más)
• Datos personales
  • Contraseñas filtradas
  • Números de pasaporte, fechas de nacimiento, números de seguridad social, números de seguro nacional y más
• Datos financieros
  • Tokens de Paypal Braintree, datos de tarjetas bancarias, números IBAN, números CUSIP y más

Búsqueda basada en tiempo

Puedes ejecutar Slack Watchman para buscar resultados que se remonten a:

• 24 horas
• 7 días
• 30 días
• Todo el tiempo

Enumeración

También enumera lo siguiente:

• Datos de usuarios
  • Todos los usuarios y todos los administradores
• Datos de conversaciones
  • Todas las conversaciones, incluidas las compartidas externamente
  • Todas las conversaciones que incluyen un Slack Canvas (que a menudo contienen información sensible o importante)
• Opciones de autenticación del espacio de trabajo

Esto significa que después de un escaneo profundo, puedes programar Slack Watchman para que se ejecute regularmente y solo devuelva resultados de tu período de tiempo elegido.

Sonda no autenticada

Puedes ejecutar Slack Watchman en modo de sonda no autenticada para enumerar opciones de autenticación y otra información en un espacio de trabajo. Esto no necesita un token y devuelve:

• Nombre del espacio de trabajo
• ID del espacio de trabajo
• Dominios aprobados (que pueden crear cuentas)
• Proveedores de OAuth
• Estado de autenticación SSO
• Requisitos de doble factor

Para ejecutar este modo, usa Slack Watchman con la opción --probe y el dominio del espacio de trabajo a sondear:

slack-watchman --probe https://domain.slack.com

Firmas

Slack Watchman utiliza firmas YAML personalizadas para detectar coincidencias en Slack. Estas firmas se extraen del repositorio central de Watchman Signatures. Slack Watchman actualiza automáticamente su base de firmas en tiempo de ejecución para asegurarse de que está utilizando las últimas firmas para detectar secretos.

Supresión de firmas

Puedes definir las firmas que quieras deshabilitar al ejecutar Slack Watchman añadiendo sus IDs a la sección disabled_signatures del archivo watchman.conf. Por ejemplo:

slack_watchman:
  token: ...
  cookie: ...
  url: ...
  disabled_signatures:
    - tokens_generic_bearer_tokens
    - tokens_generic_access_tokens

Puedes encontrar el ID de una firma en los archivos YAML individuales del repositorio de Watchman Signatures.

Registro (logging)

Slack Watchman ofrece las siguientes opciones de registro:

• Salida estándar (stdout) legible en terminal
• JSON a stdout

Slack Watchman utiliza por defecto el registro legible en terminal si no se proporciona ninguna opción. Está diseñado para que sea más fácil de leer para los humanos.

El registro JSON también está disponible, perfecto para ingerir en un SIEM u otras plataformas de análisis de registros.

El registro con formato JSON se puede redirigir fácilmente a un archivo como se muestra a continuación:

slack-watchman --timeframe a --all --output json >> slack_watchman_log.json 

Requisitos de autenticación

Token de API de Slack

Para ejecutar Slack Watchman, necesitarás un token de acceso OAuth de la API de Slack. Puedes hacerlo creando una Slack App sencilla.

La aplicación debe tener añadidos los siguientes ámbitos de token de usuario:

channels:read
files:read
groups:read
im:read
links:read
mpim:read
remote_files:read
search:read
team:read
users:read
users:read.email

Nota: Los tokens de usuario actúan en nombre del usuario que los autoriza, por lo que sugiero que crees esta aplicación y la autorices con una cuenta de servicio; de lo contrario, la aplicación tendrá acceso a tus conversaciones y chats privados.

Manifiesto de la aplicación

Las aplicaciones de Slack se pueden crear a partir de manifiestos JSON que definen los detalles de la aplicación y los ámbitos a aprobar. El manifiesto de la aplicación para Slack Watchman se encuentra en docs/app_manifest.json; puedes usarlo para agilizar la creación de tu aplicación de Slack.

Autenticación con cookie

Alternativamente, Slack Watchman también puede autenticarse en Slack usando la cookie d del usuario, que se almacena en el navegador de cada usuario conectado a un espacio de trabajo.

Para usar la autenticación con cookie, tendrás que proporcionar la cookie d y la URL del espacio de trabajo de destino. Luego tendrás que usar la opción --cookie al ejecutar Slack Watchman.

Puedes encontrar más información sobre la autenticación con cookie en mi blog

Cómo proporcionar tokens

Slack Watchman primero intentará obtener el token de Slack (además del token de cookie y la URL, si se seleccionan) de las variables de entorno

• SLACK_WATCHMAN_TOKEN
• SLACK_WATCHMAN_COOKIE
• SLACK_WATCHMAN_URL

Si esto falla, intentará cargar los tokens del archivo .conf (ver más abajo).

Archivo watchman.conf

Las opciones de configuración se pueden pasar en un archivo llamado watchman.conf que debe almacenarse en tu directorio personal. El archivo debe seguir el formato YAML y tener un aspecto similar al siguiente:

slack_watchman:
  token: xoxp-xxxxxxxx
  cookie: xoxd-%2xxxxx
  url: https://xxxxx.slack.com
  disabled_signatures:
    - tokens_generic_bearer_tokens
    - tokens_generic_access_tokens

Slack Watchman buscará este archivo en tiempo de ejecución y usará las opciones de configuración de aquí. Si no estás usando autenticación con cookie, deja cookie y url en blanco.

Si tienes problemas con tu archivo .conf, pásalo por un linter de YAML.

Hay un archivo de ejemplo en docs/example.conf