RedEye : Visualisation des logs C2 pour Red Teams

---

⚠️ Ce dépôt est actuellement en mode maintenance ⚠️

Ce dépôt GitHub n'est plus en développement actif. Nous examinerons les problèmes et les pull requests de la communauté pour les corrections de bugs, mais nous ne prendrons en compte aucune nouvelle fonctionnalité.

---

RedEye est un outil analytique open-source développé par la CISA et le Pacific Northwest National Laboratory du DOE pour aider les Red Teams à visualiser et rapporter les activités de commandement et contrôle. Cet outil permet à un opérateur d'évaluer et d'afficher des données complexes, d'évaluer les stratégies d'atténuation et de faciliter une prise de décision efficace en réponse à une évaluation Red Team. L'outil analyse les logs, comme ceux de Cobalt Strike, et présente les données dans un format facilement digestible. Les utilisateurs peuvent ensuite étiqueter et ajouter des commentaires aux activités affichées dans l'outil. Les opérateurs peuvent utiliser le mode présentation de RedEye pour présenter les résultats et le flux de travail aux parties prenantes.

RedEye peut aider un opérateur à :

• Rejouer et démontrer les activités d'évaluation de la Red Team telles qu'elles se sont produites, plutôt que de parcourir manuellement des milliers de lignes de logs.
• Afficher et évaluer des données d'évaluation complexes pour permettre une prise de décision efficace.
• Acquérir une compréhension plus claire du chemin d'attaque emprunté et des hôtes compromis lors d'une évaluation Red Team ou d'un test de pénétration.

Red Team	Blue Team

Démarrage rapide

1. Téléchargez les derniers binaires RedEye pour votre OS* depuis la page Releases.
2. Choisissez un mode et Lancez le serveur
   • Mode Red Team active l'ensemble des fonctionnalités : importer des logs C2, explorer les données et créer des présentations. Vous devez fournir un mot de passe pour exécuter ce mode. Pour démarrer le serveur en mode Red Team, exécutez la commande suivante dans un terminal.

     ./RedEye --redTeam --password <votre_mot_de_passe>
     

   • Mode Blue Team (par défaut) propose une interface simplifiée en lecture seule pour consulter les campagnes exportées par une Red Team. Pour démarrer le serveur en mode Blue Team, exécutez la commande suivante dans un terminal.

     ./RedEye   # Ou double-cliquez simplement sur l'exécutable "RedEye"
     

3. Utilisez l'application web dans un navigateur à l'adresse http://127.0.0.1:4000. Le binaire RedEye s'exécute en tant que serveur dans une fenêtre de terminal et ouvrira automatiquement l'interface web dans votre navigateur par défaut. Vous devez fermer la fenêtre du terminal pour quitter le serveur RedEye.
4. Essayez d'importer l'ensemble de données exemple gt.redeye pour commencer. Ou essayez un autre ensemble de données exemple.

Problème macOS - Lors de la première exécution de RedEye, vous pouvez rencontrer une erreur "non vérifié". Vous devez aller dans "Préférences Système" > "Sécurité et confidentialité" > "Général" et cliquer sur "Ouvrir quand même". Plus d'informations sur la page d'assistance Apple.

Suivez le Guide utilisateur pour découvrir les fonctionnalités de RedEye.

---

Modes Red Team et Blue Team

RedEye dispose de deux modes qui couvrent deux étapes du processus de Red Teaming. Le mode Red Team permet d'importer des données C2, d'éditer les données importées, de faire des commentaires et des présentations. Après avoir organisé et annoté les données de campagne, les Red Teams peuvent exporter leur campagne sous forme de fichier .redeye autonome et le transmettre à une Blue Team pour le reporting et la correction. Le mode Blue Team exécute RedEye dans une interface simplifiée en lecture seule pour visualiser les données organisées exportées par une Red Team.

Note : Les modes Red et Blue Team peuvent être démarrés à partir du même binaire d'application RedEye.

Red Team

Le binaire téléchargé se compose de deux parties :

• Le binaire de l'application RedEye
• Le dossier parsers contenant les binaires d'analyse (ex. cobalt-strike-parser analyseur de logs Cobalt Strike)

Il existe trois options pour exécuter RedEye en mode Red Team :

1. Exécutez le binaire téléchargé en passant les options --redTeam et le mot de passe :

   ./RedEye --redTeam --password <votre_mot_de_passe>
   

2. Clonez, installez et exécutez le projet directement (décrit dans la section Construction locale).
3. Docker Compose
   1. Clonez le dépôt
   2. Mettez à jour les variables d'environnement dans docker-compose.yml.
   3. Exécutez :

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

Le mode Blue Team est une interface simplifiée en lecture seule pour afficher les données qui ont été organisées, annotées et exportées par une Red Team. Ce mode s'exécute par défaut pour simplifier le démarrage pour la Blue Team.

La version Blue Team peut être exécutée en double-cliquant sur le binaire 'RedEye'. RedEye s'exécute à l'adresse http://127.0.0.1:4000 (par défaut) et ouvrira automatiquement votre navigateur par défaut.

Remise de présentation Blue Team

Si un dossier campaigns se trouve dans le même répertoire que l'application RedEye, RedEye tentera d'importer les fichiers de campagne .redeye présents. Les fichiers de campagne peuvent être exportés en mode Red Team.

Pour préparer une version pour la Blue Team, suivez ces deux étapes :

1. Copiez le binaire de l'application RedEye dans un dossier vide.
2. Créez un dossier campaigns dans le même répertoire et placez-y les fichiers de campagne .redeye que vous souhaitez envoyer.

Dossier/
	RedEye
	campaigns/
		Campagne-01.redeye
		Campagne-02.redeye

Les fichiers .redeye peuvent également être téléchargés en mode Blue Team via la boîte de dialogue "+ Ajouter une campagne".