Manuka

Descripción

Manuka es un honeypot de inteligencia de fuentes abiertas (OSINT) que monitorea intentos de reconocimiento por parte de actores de amenazas y genera inteligencia procesable para los equipos azules. Crea un entorno simulado compuesto por fuentes OSINT preparadas, como perfiles de redes sociales y credenciales filtradas, y rastrea signos de interés de adversarios, alineándose estrechamente con el marco PRE-ATT&CK de MITRE. Manuka brinda a los equipos azules una visibilidad adicional de la fase de reconocimiento previo al ataque y genera señales de alerta temprana para los defensores.

Aunque varían en escala y sofisticación, la mayoría de los honeypots tradicionales se centran en redes. Estos honeypots descubren atacantes en las etapas 2 (Armamento) a 7 (Acciones sobre los objetivos) de la cadena de ciberataque, asumiendo que los atacantes ya están explorando la red.

Manuka realiza detección de amenazas OSINT en la etapa 1 (Reconocimiento) de la cadena de ciberataque. A pesar de invertir millones de dólares en defensas de red, las organizaciones pueden verse comprometidas fácilmente a través de una simple búsqueda en Google. Un ejemplo reciente es el de hackers que exponen reuniones corporativas, sesiones de terapia y clases universitarias a través de llamadas de Zoom dejadas en la web abierta. Las empresas necesitan detectar estas amenazas OSINT en su perímetro, pero carecen de las herramientas para hacerlo.

Manuka está diseñado para escalar. Los usuarios pueden agregar fácilmente nuevos módulos de escucha y conectarlos al entorno Dockerizado. Pueden coordinar múltiples campañas y honeypots simultáneamente para ampliar la superficie del honeypot. Además, los usuarios pueden personalizar y desplegar rápidamente Manuka para adaptarse a diferentes casos de uso. Los datos de Manuka están diseñados para ser fácilmente transferidos a otras herramientas de análisis y visualización de terceros en el flujo de trabajo de una organización.

Diseñar un honeypot OSINT presenta un desafío novedoso debido a la complejidad y la amplia gama de técnicas de OSINT. Sin embargo, una herramienta de este tipo permitiría a los equipos azules "desplazarse a la izquierda" en su estrategia de inteligencia de amenazas cibernéticas.

Panel de control

Diseño de la herramienta

Arquitectura

Manuka se basa en los siguientes términos y procesos clave.

• Fuentes: posibles vectores de OSINT, como perfiles de redes sociales, credenciales expuestas y código fuente filtrado.
• Escuchas (Listeners): servidores que monitorean las fuentes en busca de interacciones con atacantes.
• Aciertos (Hits): indicadores de interés, como intentos de inicio de sesión con credenciales filtradas y conexiones en redes sociales.
• Honeypots: grupos de fuentes y escuchas organizados en una sola Campaña que analiza y rastrea los aciertos a lo largo del tiempo.

Diseño del sistema

El framework en sí consta de varios contenedores Docker que se pueden desplegar en un solo host.

• manuka-server: servidor central en Golang que realiza operaciones CRUD e ingiere aciertos de los listeners.
• manuka-listener: servidor modular en Golang que puede realizar diferentes roles de escucha.
• manuka-client: panel de React para que el equipo azul administre los recursos de Manuka.

Estos contenedores se orquestan mediante un solo comando docker-compose.

Desarrollo

En desarrollo, los componentes se ejecutan en los siguientes puertos en sus respectivos contenedores:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Para permitir que el cliente y el servidor se comuniquen sin problemas de CORS, se agrega una capa adicional de nginx en localhost:8080 que redirige /api/ a manuka-server y / a manuka-listener.

Además, manuka-listener opera en los siguientes puertos:

1. 8081 para la página web de inicio de sesión preparada
2. 8082 para interactuar con el correo electrónico preparado

Requisitos

Consulte los repositorios de componentes individuales para conocer sus requisitos.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configuración

1. Cree un archivo en docker/secrets/postgres_password con la contraseña para Postgres.
2. Configure una cuenta de Google para Gmail a fin de recibir correos electrónicos de perfiles de redes sociales.
3. Configure Google Cloud Pub/Sub en https://console.cloud.google.com/cloudpubsub para la funcionalidad de correo electrónico push (guía: https://developers.google.com/gmail/api/guides/push). La guía también incluirá instrucciones para crear un proyecto de Cloud.
4. Cree el archivo docker/secrets/google_credentials.json con las credenciales de su proyecto.
5. Agregue el tema creado en Cloud Pub/Sub a docker/secrets/google_topic.
6. Obtenga un token de oauth2 para su cuenta de Google. Manuka requiere un token de oauth2 la primera vez que se ejecuta. Posteriormente, lo renovará automáticamente. Guarde el token en docker/secrets/google_oauth2_token.json.

Ejecución

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Inicialice el servicio push de Gmail de manuka-listener:
   1. Inicialice ngok: ./ngok http <puerto_manuka-listener> y tome nota de la URL https.
   2. En el panel izquierdo de Google PubSub, vaya a Suscripciones -> <nombre de suscripción> -> Editar suscripción y cambie la URL del endpoint a <URL https de ngok>/notifications.
   3. Intente enviar un correo electrónico desde otra cuenta a la cuenta de Gmail de destino. Debería ver POST /notifications 200 OK en la consola de ngrok, y Received push notification en la consola de Docker.

Producción

En producción, los siguientes puertos se asignan a estos servidores:

1. 8080: manuka-client en / y manuka-server en /api
2. 80: manuka-listener-login en / y manuka-listener-social en /notifications

Esto permite que cualquier dominio que apunte a su servidor aparezca como la página de inicio de sesión falsa, mientras que el panel de administración está disponible en el puerto 8080. Además, el panel de administración está protegido por autenticación básica HTTP en la capa de nginx.

Requisitos

Consulte los repositorios de componentes individuales para conocer sus requisitos.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configuración

1. Similar a la configuración para desarrollo, asegúrese de que todos los secretos y la configuración de Google Cloud estén en su lugar. Tenga en cuenta que la URL de suscripción ahora debe ser http://DOMINIO/notifications.
2. Apunte su nombre de dominio a la IP de su servidor.
3. Copie docker/nginx/nginx.prod.conf.example a docker/nginx/nginx.prod.conf y reemplace examplecompany.com con su dominio de producción.
4. Ejecute init-letsencrypt.sh para generar sus certificados SSL.

Ejecución

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=usuario NGINX_PASSWORD=contraseña docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME y NGINX_PASSWORD serán su autenticación básica del panel.
   2. COMPANY_NAME será el nombre de la empresa en la página de inicio de sesión falsa.

Listeners Compatibles Actualmente

1. Listener Social

   Monitorea actividades sociales en Facebook y LinkedIn. Actualmente admite notificaciones de intentos de conexión en la red. Tenga en cuenta que la(s) cuenta(s) de redes sociales monitoreada(s) deben tener habilitada la notificación por correo electrónico. La(s) cuenta(s) de correo electrónico correspondiente(s) que reciben las notificaciones por correo electrónico de las plataformas de redes sociales deben estar configuradas para reenviar estos correos electrónicos a la cuenta de Gmail centralizada.

2. Listener de Inicio de Sesión

   Monitorea intentos de inicio de sesión utilizando credenciales filtradas en el sitio del honeypot.

Otros

Categoría

OSINT - Inteligencia de Fuentes Abiertas

Agradecimientos

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock