DejaVU - Framework de Déception Open Source
DejaVu (fait partie de Camolabs.io) est une plateforme de leurre qui peut être utilisée pour déployer des leurres aussi bien sur le cloud (pour l'instant nous supportons AWS) que sur le réseau interne.
Voici notre présentation à Blackhat Europe où nous montrons comment exploiter le leurre pour détecter les tactiques et techniques courantes des adversaires à différents stades du cycle de vie d'une attaque.
Si vous cherchez à déployer DejaVu sur votre réseau interne, vous pouvez télécharger la plateforme depuis Camolabs.io. Utilisez les guides ci-dessous pour vous aider à démarrer.
Identifiants par défaut : administrator:changepassword
Nous avons commencé DejaVu en 2018 et présenté initialement notre travail à Blackhat, Defcon, et HITB. Au cours des dernières années, nous avons ajouté divers nouveaux leurres, miettes de pain et modifié notre architecture en fonction des retours des organisations qui l'utilisent.
DejaVu peut être utilisé par le défenseur pour déployer plusieurs leurres interactifs (serveur et client) de manière stratégique sur son réseau sur différents VLAN et sur le cloud (AWS). Pour faciliter la gestion des leurres, nous avons construit une plateforme web qui peut être utilisée pour déployer, administrer et configurer tous les leurres efficacement depuis une console centralisée. Le tableau de bord de journalisation et d'alertes affiche des informations détaillées sur les alertes générées et peut être configuré davantage sur la manière dont ces alertes doivent être traitées. Si certaines IP comme le scanner de vulnérabilité interne, SCCM, etc. doivent être ignorées, cela peut être configuré, ce qui signifierait très peu de faux positifs.
Les alertes ne se produisent que lorsqu'un adversaire interagit avec le leurre. Ainsi, lorsque l'attaquant touche le leurre pendant la reconnaissance ou effectue des tentatives d'authentification, cela déclenche une alerte de haute précision qui doit être examinée par la défense. Les leurres peuvent également être placés sur les VLAN clients pour détecter les attaques côté client telles que les attaques responder/LLMNR en utilisant des leurres côté client. De plus, les attaques courantes que l'adversaire utilise pour compromettre, telles que l'abus de Tomcat/SQL server pour un premier point d'appui, peuvent être déployées comme leurres, attirant l'attaquant et permettant la détection.
L'un des principaux avantages de DejaVu - En utilisant une seule plateforme, vous pouvez déployer des leurres sur différents VLAN et les gérer, les surveiller.
Voici quelques exemples de vecteurs d'attaque que vous pouvez détecter à l'aide de la plateforme DejaVu :
(Attaque) : Scan de ports/Énumération
(Défense) : Faux services répartis sur l'ensemble du réseau
(Attaque) : Attaque par pulvérisation de mots de passe / Force brute
(Défense) : Déployer plusieurs services courants, les tentatives sur deux/plusieurs leurres sont potentiellement une tentative de pulvérisation de mots de passe
(Attaque) : Attaquant ciblant les fruits à portée de main - Tomcat/MSSQL/Jenkins
(Défense) : Déployer les plates-formes courantes que les attaquants recherchent pour un premier point d'appui
(Attaque) : Empoisonnement Responder/LLMNR
(Défense) : Leurres côté client NBNS pour détecter les attaques MITM
(Attaque) : Bloodhound/Outils similaires pour identifier le chemin d'attaque
(Défense) : Manipulation des enregistrements DNS et serveurs factices
(Attaque) : Mouvement latéral - Pass the Hash
(Défense) : Fausses sessions et injection de jetons de credentials en mémoire
(Attaque) : Attaque Kerberoast
(Défense) : Honeytokens de comptes de service Kerberoasting
(Attaque) : Exfiltration de données
(Défense) : Fichiers honey pour détecter les occurrences d'exfiltration
Leurres serveur
Leurres client
Miettes de pain
