RE:TERNAL

---

---

Note : Toujours en développement, à utiliser uniquement pour les tests et ne pas exposer les interfaces ! Le compose actuel ne fonctionne pas encore, essayez seulement si vous savez ce que vous faites

RE:TERNAL est un service centralisé d'orchestration d'équipe pourpre (purple team) permettant de gérer des frameworks C2 tiers. Des agents sont installés sur les terminaux pour exécuter diverses techniques de red teaming connues afin de tester les capacités de blue teaming. Les simulations sont mappées sur le framework MITRE ATT&CK. Ce dépôt contient le fichier de composition (compose) pour configurer la plateforme reternal via Docker.

Il existe un aperçu public disponible, exécutant la dernière version sur https://reternal.d3vzer0.com (connexion GitHub requise). L'exécution/la sauvegarde des campagnes et l'interaction avec les modules C2 sont désactivées (pour des raisons évidentes ;)).

Composants de Reternal

Installation et configuration

Ce dépôt contient des playbooks de déploiement Ansible pour automatiser l'installation et la configuration locale ou à distance de Reternal. Le guide se trouve sur le Wiki du dépôt à l'adresse https://github.com/d3vzer0/reternal-quickstart/wiki.

Développeurs et contact

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

D'où vient ce nom ?

Ce projet a été re-développé tellement de fois qu'il ne se terminera probablement jamais vraiment. D'où RE (Refaire) et Ternal (Éternel).

Remerciements spéciaux

• Rabobank DeTTECT - Framework pour cartographier votre couverture de logs par rapport à MITRE ATT&CK. Utilisé les fondamentaux pour l'évaluation interne de la couverture et les suggestions de scénarios : https://github.com/rabobank-cdc/DeTTECT
• MITRE ATT&CK - Framework utilisé pour cartographier les simulations : https://attack.mitre.org/wiki/Main_Page
• Uber Metta - Utilisation des modèles de Metta pour les techniques MITRE avec de petits ajustements (optionnels) au format purple_action : https://github.com/uber-common/metta
• https://github.com/olafhartong/sysmon-modular - Application Splunk avec des requêtes prêtes à l'emploi pour rechercher des événements malveillants basés sur Sysmon
• https://www.splunksecurityessentials.com/ - Application Splunk indispensable pour étendre vos capacités de détection actuelles. L'application analyse les sourcetypes disponibles et fournit des astuces/techniques adaptées pour améliorer l'utilisation globale de Splunk pour la chasse et la détection.

Exemples et captures d'écran

Toutes les fonctionnalités seront documentées sur la page d'accueil du Wiki à l'adresse https://github.com/d3vzer0/reternal-quickstart/wiki. Vous trouverez ci-dessous quelques exemples des principaux composants.

Cartographie acteur/technique

Reternal mappe automatiquement les commandes et techniques disponibles aux acteurs. Vous pouvez directement ajouter toutes les techniques couramment utilisées par les acteurs à votre ensemble de tâches.

Constructeur de recettes / graphes

La planification de tâches à exécuter sur un agent s'appelle un graphe. Vous pouvez ajouter des commandes manuelles à un graphe ou sélectionner l'une des techniques déjà mappées ou des TTP d'acteurs. Vous pouvez glisser-déposer pour modifier l'ordre des tâches dans votre graphe.

Interaction C2

Reternal agit comme un middleware et interagit avec des frameworks C2 externes. Un exemple est montré ci-dessous illustrant comment Reternal gère les écouteurs externes et génère des stagers.

Évaluation de la couverture (basée sur Rabo DeTTECT)

Synchronise automatiquement les sources de données disponibles avec votre environnement Splunk ou ajoutez des sources de logs manuellement. Reternal suggérera des campagnes spécifiques à exécuter en fonction de votre évaluation de couverture.

Avec un aperçu de votre couverture par rapport à toutes les techniques ATT&CK :

Chasses intégrées

De plus, une liste de requêtes Splunk est incluse pour valider automatiquement les simulations. Bientôt (tm), la campagne planifiée exécutera automatiquement les requêtes pertinentes et présentera un rapport détaillé contenant les résultats (par exemple, heure de l'attaque par rapport à heure de détection, etc.)

État de la campagne et tableau de bord

Le tableau de bord principal affiche l'état de vos campagnes en cours et montre la couverture attendue de vos sources de données par rapport aux techniques.