BloodHound (y PlumHound sobre él) encuentra una ruta hacia el objetivo. NoiseHound ingiere los mismos datos de grafo y re-clasifica las rutas según el coste de detección esperado en lugar del número de saltos, de modo que un operador pueda preguntar "cuál es la forma más silenciosa de llegar a Domain Admin" en lugar de solo "cuál es una forma".

¿Nuevo aquí? El Tutorial para operadores es la forma más rápida de ver qué hace esto - un recorrido práctico guiado por capturas de pantalla desde la instalación hasta una prueba de concepto en vivo con BloodHound CE (puntuaciones escritas de vuelta en la interfaz), el motor DeadAir y el informe de brechas de detección del equipo azul.

Estado del proyecto (v1.2.0): estable y probado con datos reales de BloodHound en múltiples dominios. 37 de los 77 bordes del corpus están medidos en laboratorio en cinco niveles de detección on-prem (auditoría de Windows, Defender for Endpoint, Elastic SIEM, alertas de runtime de Defender for Identity y auditoría de WDAC) más un nivel medido de Azure/Entra

• distribuidos como seis perfiles listos para usar en profiles/, con prueba de bucle cerrado de que cambian las clasificaciones de rutas (docs/VALIDATION.md). El corpus incluye 13 bordes de Azure/Entra (docs/AZURE.md), ingeribles directamente desde la salida de AzureHound. Los bordes on-prem no medidos y todos los bordes de Azure llevan estimaciones de expertos; el arnés de calibración (noisehound-calibrate) es cómo se miden ellos, y su propio entorno. Trate las clasificaciones no calibradas como una guía bien razonada, no como verdad absoluta.

Solo para compromisos autorizados. Esta herramienta puntúa rutas de ataque para la planificación de OPSEC contra sistemas sobre los que tiene permiso por escrito para probar.

NoiseHound es un proyecto comunitario independiente. No está afiliado con, respaldado por, ni asociado con SpecterOps o el proyecto BloodHound; consume el formato de datos abierto de BloodHound.

Cómo funciona

1. Ingiere una exportación de BloodHound CE (.zip), un archivo JSON sin procesar o un directorio de exportaciones en un grafo interno. También se acepta un formato JSON normalizado {nodes, edges} para análisis sin conexión y pruebas. Los bordes de escalada ESC1-8 de AD CS se sintetizan en el momento de la carga a partir de las plantillas de certificado y los hechos de CA que BloodHound recopila (ver más abajo).
2. Anota cada borde desde el corpus de telemetría de bordes, adjuntando un effective_noise_score (0-100). Cuando varios derechos conectan el mismo par de nodos, se elige el más silencioso. Los tipos de borde ausentes del corpus usan por defecto una puntuación conservadora (60) para que las brechas fallen de forma segura en lugar de subestimar. Un perfil de entorno opcional ajusta las puntuaciones según la postura de detección declarada del objetivo (ver más abajo).
3. Resuelve las rutas más silenciosas. Como la puntuación de ruta es un cuello de botella más media (no una suma simple), no puede optimizarse directamente con Dijkstra. El solucionador combina un barrido de umbral (para cada nivel de ruido distinto, la ruta más silenciosa que se mantenga por debajo de él) con un paso de k-rutas-más-cortas-por-peso acotado, y luego re-clasifica la unión por la puntuación de ruta real. El barrido de umbral es el respaldo de corrección: saca a la luz una ruta larga pero uniformemente silenciosa que una búsqueda de suma ponderada pura clasificaría por debajo de una corta pero ruidosa.
4. Informa como texto, JSON (interoperable con el esquema de resultados de OffsetInspect), o un informe HTML autocontenido con estilo acorde al conjunto de herramientas.

Puntuación de rutas

El ruido de ruta deliberadamente no es una suma simple. Activar la misma detección dos veces no es el doble de ruidoso (triaje del SOC, no recuento bruto de eventos). NoiseHound usa:``` path_score = max(edge_scores) * 0.6 + mean(edge_scores) * 0.4

Cómo se compara NoiseHound

La búsqueda de rutas ponderada de BloodHound no es nueva, así que aquí está el posicionamiento honesto:

• BloodHound / BloodHound CE encuentran una ruta por recuento de saltos sin ponderar. Sin modelo de ruido.
• GoodHound asigna costos a las aristas y encuentra las rutas más baratas, pero su modelo de costos es la dificultad de explotación y el riesgo empresarial, no el ruido de detección.
• PlumHound / ImproHound hacen informes y análisis de violación de niveles; ninguno vuelve a resolver para una ruta más silenciosa hacia el objetivo.
• Los mapeos de detección (Sigma, DeTT&CT, referencias de ID de evento a ATT&CK) son ricos pero orientados a humanos y no están vinculados a los tipos de aristas de BloodHound.

La contribución de NoiseHound es la combinación: un corpus legible por máquina de aristas de BloodHound a telemetría de detección, una re-resolución ponderada por ruido enmarcada como OPSEC del operador ("la vía más silenciosa hacia DA"), un modelo de entorno que se adapta a la postura declarada de un objetivo, y un bucle de calibración que convierte detecciones de laboratorio en puntuaciones medidas. Las matemáticas de grafos son comunes; el corpus y el marco son el punto. Su valor solo es tan bueno como el corpus, por eso la calibración y la contribución de la comunidad son de primera clase; ver más abajo.

Instalación```bash

cd NoiseHound python -m pip install -r requirements.txt # networkx>=3.0

optional editable install to get the noisehound command on PATH:

python -m pip install -e .

Primero, verifica la cordura del parser en tu exportación (histogramas + cobertura del corpus, sin pathing): la forma más rápida de validar NoiseHound con datos del mundo real:```bash noisehound-inspect -i export.zip

Levanta BloodHound CE (incluye Neo4j en el puerto 7687) con su compose oficial: curl -L https://ghst.ly/getbhce | docker compose -f - up.

Pruébalo contra las muestras incluidas:```bash python -m noisehound -i samples/sample_graph.json -s jdoe -o "Domain Admins" -d CONTOSO.LOCAL python -m noisehound -i samples/sample_bloodhound_ce.zip -s jdoe -o "Domain Admins" python -m noisehound -i samples/sample_adcs_ce.zip -s jdoe -o "Domain Admins" # ADCS ESC1

Full-spectrum export exercising every edge family (sessions, delegation, DCSync, ADCS, trusts):

python -m noisehound -i samples/sample_fullspectrum_ce.zip -s ALICE -o "Domain Admins" -d CONTOSO.LOCAL -k 3

On the full-spectrum sample it finds that the quietest path to Domain Admins hinges on undetected LSASS access (HasSession, 20 -> 65 if instrumented) and recommends deploying Sysmon Event 10 - closing that one gap lifts the quietest path from 19.9 to 48.4. See docs/ROADMAP.md for where this and the rest of the model are headed.

Opciones clave

Perfiles de entorno

Una puntuación estática del corpus no puede saber si un objetivo concreto tiene la auditoría de objetos 4662 activada, ejecuta Sysmon, o usa un ITDR como MDI - sin embargo, esos factores mueven enormemente el ruido real de un borde (DCSync es casi silencioso sin auditoría 4662 y casi con certeza detectado con ella). En lugar de fingir que un solo número sirve para cada entorno, declara la postura del objetivo en un pequeño archivo JSON y NoiseHound ajusta las puntuaciones de forma transparente contra las anotaciones de telemetría del propio corpus:```json { "name": "CONTOSO.LOCAL-prod", "object_auditing_4662": true, "ds_change_auditing_5136": false, "edr": "MDI", "sysmon": true, "powershell_logging_4104": true, "adjustments": { "HasSession": 65 } }

Score precedence: static -> environment-adjusted -> live (Phase 2).

Calibration harness

Environment profiles are only as good as the numbers you put in them. noisehound-calibrate closes the loop: run the techniques in a detection lab, record what fired, and it emits a calibrated environment profile.

This has been done. profiles/ ships six measured profiles from a real Hyper-V Vulnerable-AD range and a lab Azure tenant - audit, EDR (Defender for Endpoint), Elastic SIEM, Defender for Identity, and WDAC tiers plus a measured Azure/Entra tier, 37 edges - produced by the automated harness (lab/) and this tool. Use them directly, or measure your own:```bash

Use a shipped measured profile:

noisehound -i export.zip -s jdoe -o "Domain Admins" -e profiles/vulnad-hyperv-audit.json

Or measure your own lab:

1. noisehound-calibrate --plan -o plan.json (per-edge detection events)

2. lab/Invoke-NoiseHoundCalibration.ps1 (run + auto-count -> lab_detections.json)

noisehound-calibrate -i lab_detections.json -o env.calibrated.json noisehound -i export.zip -s jdoe -o "Domain Admins" -e env.calibrated.json

lab_score es el costo de detección esperado: la severidad del SOC cuando se activa, un pequeño residual cuando no lo hace. El peso w evita que una sola ejecución anule el corpus mientras permite que un resultado bien muestreado domine. En el ejemplo, HasSession sube de un estático 20 a 52 (el laboratorio detectó el volcado de LSASS en 4 de 5 ejecuciones) mientras que Kerberoast baja de 60 a 34 (nunca se activó). Usa --merge existing.json para superponer nueva calibración sobre un perfil manteniendo sus banderas de postura, y --smoothing / --residual para ajustar el modelo.

Puntuar contra detecciones desplegadas (Sigma)

Los perfiles de entorno y la calibración son autodeclarados. noisehound-sigma puntúa contra las detecciones que un defensor ha realmente escrito: apúntalo a un conjunto de reglas Sigma y calcula sobre qué bordes del corpus se activaría cada regla (emparejando los IDs de eventos de telemetría y la técnica ATT&CK del borde), luego emite un perfil de entorno que eleva los bordes cubiertos: un reemplazo directo para --environment.```bash noisehound-sigma -r ./sigma-rules/ -o env.sigma.json python -m noisehound -i export.zip -s jdoe -o "Domain Admins" -e env.sigma.json --defensive

Para los bordes de Azure/Entra, noisehound-entra mide el nivel en la nube de la misma manera en que se midieron los niveles locales: activa los abusos AZ* en un tenant de laboratorio, exporta el rastro de directoryAudits de Entra, y cuenta lo que realmente se registró en un perfil calibrado (docs/AZURE_CALIBRATION.md).```bash noisehound-entra -a directoryAudits.json -m entra_runs.json --profile-out profiles/lab-tenant-azure.json

Reutiliza el comparador de Sigma y añade un nivel solo de técnica (marcado [technique], con menor puntuación) para las reglas KQL/EQL de comportamiento que nunca nombran un código de evento. Las reglas deshabilitadas se ignoran. El mismo patrón de normalizar-y-puntuar se aplica a continuación a Splunk / Sentinel / MDI.

AD CS ESC1-8

En el momento de la carga, NoiseHound realiza una versión enfocada del post-procesamiento de ADCS de BloodHound, sintetizando aristas de escalada a partir de los hechos retenidos de plantillas/CA. Un derecho Enroll sobre una plantilla vulnerable se convierte en una arista directa ADCSESCn desde el principal al grupo Domain Admins del dominio (RID 512), de modo que la escalada por certificados se puede trazar y puntuar como cualquier otra arista:

Pruébalo: python -m noisehound -i samples/sample_adcs_ce.zip -s jdoe -o "Domain Admins".

Simplificaciones documentadas (fallan de forma segura mostrando más rutas): las restricciones de inscripción a nivel de CA no se modelan (la inscripción en la plantilla se trata como suficiente); ESC5 cubre el objeto CA y su host, no todos los contenedores PKI; ESC9/10/13 quedan fuera del alcance. Las aristas ESC sintéticas ya presentes en una exportación post-procesada se conservan.

El corpus (edge_mappings/)

El corpus de telemetría de aristas es la verdadera propiedad intelectual de esta herramienta; el código es matemática de grafos comparativamente simple sobre él. Cada edge_mappings/<Edge>.json mapea un tipo de arista de BloodHound a su superficie de detección:

• fuentes de telemetría esperadas (IDs de eventos de seguridad de Windows, IDs de eventos de Sysmon, red, heurísticas de EDR/ITDR) con fiabilidad por fuente y si la auditoría relevante está activada por defecto
• una puntuación de ruido estática (0-100)
• técnica MITRE, privilegio prerrequisito, la primitiva de abuso habitual y notas```json { "edge_type": "DCSync", "static_noise_score": 85, "telemetry": [ {"source": "windows_security", "event_id": 4662, "detail": "Directory Service Access - requires object auditing (default OFF)", "reliability": "high_if_auditing_enabled", "default_enabled": false}, {"source": "edr_heuristic", "product_class": "MDI", "detail": "Non-DC hosts issuing DRSGetNCChanges - high fidelity", "reliability": "high"} ], "mitre_technique": "T1003.006", "notes": "Assumes default audit policy (mostly OFF) but high EDR/MDI coverage." }

Consulta CONTRIBUTING.md para el esquema, la guía de puntuación y las indicaciones para PR, y docs/edge_schema.json para el esquema formal de edges.

Calibración contra un laboratorio

Se miden 30 edges (consulta profiles/); el resto son estimaciones hasta que los midas, y cada entorno difiere. docs/CALIBRATION.md es un manual completo: topología de laboratorio, la política de auditoría de Windows exacta y la configuración de Sysmon para que se activen los ID de eventos del corpus, un runbook de ejercicios por edge, una capa de realismo APT29-vía-Caldera, y cómo compilar los resultados en un perfil calibrado. Comienza con noisehound-calibrate --template -o lab_detections.json.

El kit lab/ automatiza la instrumentación de detección: Enable-Telemetry.ps1 activa la política de auditoría, el registro de bloques de script, el SACL de DCSync y Sysmon; Collect-Detections.ps1 contabiliza lo que se disparó en una ventana. Se apoya en GOAD o Vulnerable-AD (o cualquier AD de laboratorio de entrenamiento existente) para el dominio vulnerable en lugar de reimplementarlos.

Uso responsable

NoiseHound es para pruebas de seguridad autorizadas, ejercicios de purple team, ingeniería de detección e investigación. Lee datos de BloodHound que ya hayas recopilado y calcula clasificaciones; no ejecuta nada contra un objetivo. Úsalo solo donde tengas autorización escrita explícita. Las contribuciones no deben incluir datos específicos de objetivos o de compromisos reales.

Pruebas```bash

python -m pytest tests/ # with pytest python tests/test_noisehound.py # dependency-light smoke run