Fonctionnalités

• installation immédiate avec docker-compose
• pas de fichier de configuration, les paramètres peuvent être modifiés via l'interface graphique ou l'API
• les pcaps à analyser peuvent être chargés via curl, localement ou à distance, ou via l'interface graphique
  • il est également possible de télécharger les pcaps depuis l'interface graphique et de voir toutes les statistiques d'analyse pour chaque pcap
• des règles peuvent être créées pour identifier les connexions contenant certaines chaînes
  • la correspondance de motifs se fait via des expressions régulières (regex)
  • les regex au format UTF-8 et Unicode sont également supportées
• les connexions peuvent être étiquetées par type de service, identifié par le numéro de port
  • chaque service peut se voir attribuer une couleur différente
• possibilité de filtrer les connexions par adresses, ports, dimensions, temps, durée, règles correspondantes
• une chronologie affiche des statistiques avec différentes métriques échantillonnées par minute
  • certaines de ces métriques sont connections_per_service, client_bytes_per_service, server_bytes_per_service, duration_per service, matched_rules
    • avec la métrique matched_rules, il est possible de voir la relation entre flag_in et flag_out
  • la chronologie contient une fenêtre glissante qui peut être utilisée pour rechercher des connexions dans un certain intervalle de temps
• recherche avancée par terme, terme nié, phrase exacte, regex, regex niée
  • les recherches effectuées sont sauvegardées pour être répétées instantanément les fois suivantes
• les connexions HTTP détectées sont automatiquement reconstruites
  • les requêtes HTTP peuvent être reproduites via curl, fetch et python requests
  • les réponses HTTP compressées (gzip/deflate) sont automatiquement décompressées
• possibilité d'exporter et de visualiser le contenu des connexions dans divers formats, y compris hexadécimal et base64
• le contenu JSON est affiché dans un visualiseur d'arborescence JSON, le code HTML peut être rendu dans une fenêtre séparée
• les occurrences des règles correspondantes sont mises en évidence dans la vue du contenu de la connexion
• prend en charge les adresses IPv4 et IPv6
  • si plusieurs adresses sont attribuées à la machine vulnérable à défendre, une adresse CIDR peut être utilisée

Installation

Il y a deux façons d'installer Caronte :

• avec Docker et docker-compose, la façon la plus rapide et la plus simple
• en installant manuellement les dépendances et en compilant le projet

Exécution avec Docker

Les seules choses à faire sont :

• clonez le dépôt, avec git clone https://github.com/eciavatta/caronte.git
• dans le dossier caronte, exécutez docker-compose up -d
• attendez que l'image soit compilée et ouvrez le navigateur à http://localhost:3333

Installation manuelle

La première chose à faire est d'installer les dépendances :

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

Ensuite, vous devez compiler le projet, qui se compose de deux parties :

• le backend, qui peut être compilé avec go mod download && go build
• le frontend, qui peut être compilé avec cd frontend && yarn install && yarn build

Avant d'exécuter Caronte, démarrez une instance de MongoDB https://docs.mongodb.com/manual/administration/install-community/ qui n'a pas d'authentification. Faites attention à ne pas exposer le port MongoDB sur l'interface publique.

Exécutez le binaire avec ./caronte. Les options de configuration disponibles sont :

Configuration

La configuration s'effectue à l'exécution lors du premier démarrage via l'interface graphique ou via l'API. Il est nécessaire de configurer :

• server_address : l'adresse IP de la machine vulnérable. Doit être l'adresse de destination de toutes les connexions dans les pcaps. Si chaque service vulnérable a sa propre adresse IP, ce paramètre accepte également une adresse CIDR. L'adresse peut être IPv4 ou IPv6.
• flag_regex : l'expression régulière qui correspond à un flag. Généralement fournie sur la page des règles de la compétition.
• auth_required : si vrai, une authentification de base est activée pour protéger l'analyseur.
• un tableau optionnel accounts, qui contient les identifiants des utilisateurs autorisés.

Documentation

Le backend, écrit en Go, est conçu comme un service. Il expose des API REST qui sont utilisées par le frontend écrit avec React. La liste des API disponibles avec leur explication est disponible ici : https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

Captures d'écran

Ci-dessous se trouvent quelques captures d'écran montrant les principales fonctionnalités de l'outil.

Fenêtre principale, avec liste des connexions et contenu du flux

Fenêtre principale, avec la chronologie dépliée

Vue des règles et des services

Vue des recherches et des pcaps

Licence

caronte a été créé par Emiliano Ciavatta et est sous licence GPL-3.0.