cirro

Cirro est une plateforme de recherche en sécurité extensible qui permet aux chercheurs et aux testeurs d'intrusion de collecter, analyser et visualiser les environnements cloud et les relations d'identité via des bases de données graphes. Conçue avec une architecture modulaire, Cirro peut être étendue pour prendre en charge plusieurs plateformes et sources de données.

Vous pouvez consulter la Documentation pour plus d'informations.

Fonctionnalités

• Collecte de données multiplateforme : Architecture extensible prenant en charge plusieurs plateformes cloud et fournisseurs d'identité
• Authentification flexible : Prise en charge de diverses méthodes d'authentification selon la plateforme cible
• Multiplateforme : Disponible pour Windows, macOS et Linux
• Conception modulaire : Fonctionnalités optionnelles de plateforme via des indicateurs de fonctionnalités et une architecture de plugins extensible
• Analyse de topologie réseau : Prise en charge de plateformes d'infrastructure réseau comme Tailscale

Architecture

Cirro a deux domaines fonctionnels principaux :

• Collecte (cirro collect) : Rassemble des informations à partir de diverses plateformes et API
• Opérations sur le graphe (cirro graph) : Gère les opérations de base de données graphe, y compris l'ingestion et l'export de données

L'architecture modulaire utilise des indicateurs de fonctionnalités pour activer les fonctionnalités spécifiques à une plateforme, permettant aux utilisateurs de ne construire que les composants dont ils ont besoin.

Structure CLI

Cirro utilise une structure de commande hiérarchique organisée par fonction et plateforme :

cirro <function> <platform> <command> [options]

Collecte de données

Azure (collect az)

# Available authentication methods:
cirro collect az azcli           # Azure CLI authentication
cirro collect az client-secret   # Client ID and secret
cirro collect az client-cert     # Client certificate
cirro collect az access-token    # Pre-obtained access token
cirro collect az user-pass       # Username and password

Tailscale (collect ts)

# Tailscale data collection
cirro collect ts <auth-method> [options]

Opérations sur le graphe

Ingestion de données (graph ingest)

# Ingest collected data into graph database
cirro graph ingest --type <platform> --file <data-file> [database options]

Export de données (graph export)

# Export graph data to various formats
cirro graph export --format <format> [options]

Installation

Binaires précompilés

Téléchargez la dernière version pour votre plateforme depuis la page des versions. Les versions sont construites avec toutes les fonctionnalités activées.

Compilation à partir des sources

git clone https://github.com/bishopfox/cirro.git
cd cirro
cargo build --release

NOTE : LA COMPILATION AVEC --RELEASE EST IMPORTANTE POUR LES FONCTIONNALITÉS GRAPHES CAR ELLE INTÈGRE LES FICHIERS DE CONFIGURATION YAML DANS LE BINAIRE !

Le binaire sera disponible dans target/release/cirro.

Options de compilation

Par défaut, Cirro inclut toutes les fonctionnalités disponibles. Pour compiler avec des fonctionnalités spécifiques :

# Build with only collection features
cargo build --release --no-default-features --features collector

# Build with only graph features
cargo build --release --no-default-features --features graph

# Build with specific platform support
cargo build --release --no-default-features --features "azure"
cargo build --release --no-default-features --features "tailscale"

Ingestion de données

Cirro utilise Neo4j comme base de données backend. Des fichiers docker-compose se trouvent dans le répertoire tools pour faciliter l'utilisation de bases de données conteneurisées.

Après la collecte des données, ingérez-les dans votre base de données graphe :

# Ingest data for specific platforms
cirro graph ingest --type az --file cirro_output.db         # Azure data
cirro graph ingest --type ts --file cirro_ts_socket.json    # Tailscale data

# Specify custom database connection
cirro graph ingest --type az --file cirro_output.db \
  --server bolt://localhost:7687 \
  --user neo4j \
  --password password

Mode Dry-Run

Prévisualisez ce qui serait ingéré et post-traité sans écrire de données dans la base de données graphe :

# Preview Azure ingestion and see which resource types have no implemented specs
cirro graph ingest --type az --file cirro_output.db --dry-run

# Preview Tailscale ingestion
cirro graph ingest --type ts --file cirro_ts_socket.json --dry-run

En mode dry-run, Cirro va :

• Signaler chaque spécification et son nombre de lignes qui seraient traitées
• Ignorer toutes les écritures Neo4j (aucune requête d'ingestion ou de post-traitement n'est exécutée)
• Pour Azure, lister les types de ressources dans les données d'entrée qui n'ont pas de spécification implémentée

Tableau de bord

CirroDash se trouve ici : https://github.com/bishopfox/cirrodash

Mode débogage

Activez la journalisation de débogage pour des informations détaillées :

# Collection debug mode
cirro collect az azcli --debug

# Ingestion debug mode
cirro graph ingest --type az --file cirro_output.db --debug

Note : Cirro est conçu pour les tests de sécurité et la recherche autorisés. Assurez-vous d'avoir les autorisations appropriées avant de l'exécuter contre tout environnement cloud ou réseau.