Dop2Mop

Collecteur OpenGraph pour BloodHound qui cartographie les chemins d'attaque de l'infrastructure DevOps à l'infrastructure MLOps, en collectant les ressources de pipeline CI/CD, de principal de service et de plateforme ML pour l'analyse des mouvements latéraux.

Remerciements

• SpecterOps pour BloodHound et OpenGraph

Aperçu

Dop2Mop collecte des données provenant des plateformes DevOps et MLOps afin d'identifier les chemins d'attaque permettant un mouvement latéral depuis les pipelines CI/CD vers l'infrastructure d'entraînement de machine learning. Il génère du JSON OpenGraph compatible avec BloodHound pour la visualisation et l'analyse.

Plateformes prises en charge

Périmètres de confiance cartographiés

Dop2Mop modélise les cinq périmètres de confiance critiques identifiés dans la recherche :

1. P1 : Dépôt de code vers pipeline CI/CD - Déclenchement automatique des pipelines à partir des commits de code
2. P2 : Authentification du principal de service - Identifiants NHI utilisés par les pipelines pour accéder aux plateformes ML
3. P3 : Confiance dans les artefacts conteneurisés - Confiance implicite dans les images conteneur provenant de registres internes
4. P4 : Exécution des définitions de tâches - Les plateformes ML exécutent des définitions de tâches sans validation
5. P5 : Désérialisation de code - Désérialisation non sécurisée des ensembles de données (pickle, joblib)

Installation```bash

git clone https://github.com/h4wkst3r/dop2mop.git cd dop2mop pip install -r requirements.txt pip install -e .

Ingestion dans BloodHound

1. Ouvrir BloodHound CE (v8.0+)

2. Naviguer vers Administration → Import de fichiers

3. Télécharger le fichier JSON généré

4. Interroger avec Cypher :

   root@kitploit:~

   MATCH (g:Group {highvalue: true})
   OPTIONAL MATCH (g)-[:Contains*1..]->(n:User)
   RETURN g.name, COUNT(n) AS MemberCount
   ``````cypher
   

// Azure DevOps to Azure ML Lateral Movement MATCH p=(repo)-[:TriggersPipeline]->(pipeline)-[:UsesServiceConnection]->(svcconn)-[:AuthenticatesAs]->(workspace)-[:CodeExecution]->(compute) RETURN p

// Container Image Poisoning (Supply Chain Attack) MATCH p=(workflow)-[:CanPoisonImage]->(image)<-[:PullsImage]-(job) RETURN p

// OIDC/Federated Identity Abuse (confirmed edges) MATCH p=(workflow)-[:OIDCTrust]->(oidc)-[:CanAssumeRole]->(role)-[:SubmitsJob]->(job) RETURN p

// OIDC abuse including inferred paths MATCH p=(workflow)-[:OIDCTrust]->(oidc)-[:InferredCanAssumeRole]->(role) RETURN p

// Dataset Poisoning via Pickle Deserialization MATCH p=(workflow)-[:CanPoisonDataset]->(dataset)<-[:LoadsDataset]-(job) RETURN p

// Find repos with weak/no branch protection (TB1 exploitable) MATCH (repo)-[:BypassesProtection]->(repo) RETURN repo.name, repo.default_branch

// Find overprivileged SageMaker IAM roles MATCH (role:IAMRole) WHERE role.is_admin = true OR role.has_s3_full_access = true RETURN role.name, role.attached_policies

// Find SageMaker notebooks with root + internet access MATCH (nb:SMNotebook) WHERE nb.root_access = 'Enabled' AND nb.direct_internet_access = 'Enabled' RETURN nb.name, nb.status

// Find self-hosted ADO agent pools MATCH (agent:ADOAgent) WHERE agent.is_hosted = false RETURN agent.name, agent.pool_type

Dop2Mop vérifie ces emplacements dans l'ordre :

1. Chemin spécifié par --config
2. dop2mop.yaml / dop2mop.yml / .dop2mop.yaml dans le répertoire courant
3. ~/.dop2mop.yaml

Note : dop2mop.yaml est dans .gitignore pour éviter de commettre accidentellement des informations d'identification. Le fichier d'exemple (dop2mop.yaml.example) peut être commité en toute sécurité.

Voir dop2mop.yaml.example pour toutes les options disponibles avec commentaires.

Ordre de priorité : arguments CLI > fichier de configuration > variables d'environnement.

Validation des identifiants

Testez les identifiants avant d'exécuter une collecte complète :```bash

Validate all configured collectors

dop2mop collect --validate -v

Validate specific collectors

dop2mop collect --validate --collectors github,sagemaker -v

Référence CLI

Vue d'ensemble des commandes```

dop2mop [options]

Commands: collect Collect data from DevOps/MLOps platforms demo Generate demo data with attack scenarios

Options Générales

Options GitHub

Options Azure DevOps

Options Azure ML

Options AWS SageMaker

Collecteurs Disponibles

dop2mop demo

Générer des données de démonstration illustrant les quatre scénarios d'attaque issus de la recherche.```bash dop2mop demo [OPTIONS]

Exemples d'utilisation en CLI

Collecte de base```bash

Collect from all configured platforms (uses environment variables)

dop2mop collect -o output.json

Use a config file

dop2mop collect --config dop2mop.yaml -o output.json -v

Validate credentials first, then collect

dop2mop collect --validate -o output.json -v

Collect with verbose logging

dop2mop collect -o output.json -v

Collect with debug logging

dop2mop collect -o output.json --debug

Collect and compress to ZIP

dop2mop collect -o output.json --zip

Limit collection size

dop2mop collect --max-items 100 -o output.json

Skip secret enumeration

dop2mop collect --no-secrets -o output.json

Collection multi-plateforme```bash

GitHub + SageMaker

dop2mop collect --collectors github,sagemaker -o output.json -v

GitHub + Azure DevOps

dop2mop collect --collectors github,ado -o output.json -v

Azure DevOps + Azure ML (full Azure stack)

dop2mop collect --collectors ado,azureml -o azure.json -v

All collectors explicitly

dop2mop collect --collectors github,ado,azureml,sagemaker -o full.json -v

Exemples de la collection Azure DevOps```bash

Using environment variables

export AZURE_DEVOPS_TOKEN="your-pat" export AZURE_DEVOPS_ORG="your-org" dop2mop collect --collectors AzureDevOpsCollector -o ado.json -v

Using command-line arguments (PAT)

dop2mop collect --collectors AzureDevOpsCollector
--azure-devops-token your-pat
--azure-devops-org your-org
-o ado.json -v

Using access token (Bearer auth)

dop2mop collect --collectors AzureDevOpsCollector
--azure-devops-access-token eyJ0...
--azure-devops-org your-org
-o ado.json -v

Remarque : Priorité d'authentification Azure ML : jeton d'accès > principal de service > DefaultAzureCredential (az login). Les jetons d'accès peuvent être obtenus via az account get-access-token --resource https://management.azure.com/.

Exemples de collection AWS SageMaker```bash

Using AWS profile (environment variable)

export AWS_PROFILE="your-profile" dop2mop collect --collectors SageMakerCollector -o sagemaker.json -v

Using AWS profile (command-line)

dop2mop collect --collectors SageMakerCollector
--aws-profile your-profile
-o sagemaker.json -v

Using access keys

dop2mop collect --collectors SageMakerCollector
--aws-access-key-id AKIAXXXXXXXXXXXXXXXX
--aws-secret-access-key xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
--aws-region us-east-1
-o sagemaker.json -v

Different AWS region

dop2mop collect --collectors SageMakerCollector
--aws-profile your-profile
--aws-region us-west-2
-o sagemaker.json -v

Variables d'environnement

Toutes les options de ligne de commande peuvent être définies via des variables d'environnement :

Priorité : Arguments CLI > fichier de configuration > variables d'environnement.

Types de nœuds

Nœuds DevOps

Nœuds MLOps

Nœuds d'identité

Nœuds d'artéfact

Types d'arêtes

Arêtes de chemin d'attaque

Arêtes inférées

Ces arêtes sont créées par analyse heuristique lorsque les données d'API explicites ne sont pas disponibles (par exemple, les ARN de rôles stockés dans des secrets). Elles utilisent des types d'arêtes distincts afin que vous puissiez les filtrer dans les requêtes BloodHound.

Arêtes structurelles

Exemples de requêtes

Consultez queries/dop2mop_queries.cypher pour des exemples complets de requêtes.

Icônes personnalisées

Dop2Mop inclut un fichier d'icônes préconfiguré pour les types de nœuds personnalisés BloodHound dans data/custom_icons.json.

Téléchargement des icônes vers BloodHound

Option 1 : Explorateur d'API (Plus simple)

1. Ouvrez BloodHound CE et allez dans Paramètres → API Explorer
2. Trouvez POST /api/v2/custom-nodes
3. Cliquez sur « Try it out »
4. Collez le contenu de custom_icons.json
5. Cliquez sur « Execute »

Option 2 : Authentification HMAC (Recommandé pour l'automatisation)

D'abord, créez un jeton API dans BloodHound :

1. Allez dans Paramètres → Administration → Gérer les utilisateurs
2. Cliquez sur votre utilisateur → Créer un jeton
3. Sauvegardez l'ID du jeton et la Clé du jeton

Ensuite, utilisez ce script Python pour télécharger :```python #!/usr/bin/env python3 """Upload custom icons to BloodHound CE using HMAC authentication."""

import base64 import hashlib import hmac import json from datetime import datetime, timezone import requests

Configuration

BLOODHOUND_URL = "http://localhost:8080" TOKEN_ID = "your-token-id" TOKEN_KEY = "your-token-key" ICONS_FILE = "custom_icons.json"

def hmac_auth(method: str, uri: str, body: bytes = b"") -> dict: """Generate HMAC authentication headers.""" digester = hmac.new( base64.b64decode(TOKEN_KEY), msg=None, digestmod=hashlib.sha256 )

def upload_icons(): """Upload custom icons to BloodHound.""" uri = "/api/v2/custom-nodes" url = f"{BLOODHOUND_URL}{uri}"

if name == "main": upload_icons()

API Python```python

from dop2mop import Dop2MopCollector, CollectorConfig

Configure collection

config = CollectorConfig( github_token="ghp_xxx", github_org="myorg", aws_profile="default", )

Validate credentials first

collector = Dop2MopCollector(config) results = collector.validate_all() print(results) # {'GitHubCollector': True, 'SageMakerCollector': True, ...}

Run collection (supports aliases)

collector.run(collectors=["github", "sm"])

Save output

collector.save("output.json")

Get statistics

print(collector.get_stats())

Get per-collector failure/skip details

print(collector.get_collection_summary())

Construire des graphes personnalisés```python

from dop2mop.graph import OpenGraphBuilder from dop2mop.models import NodeKind, EdgeType

builder = OpenGraphBuilder(source_kind="CustomSource")

Add nodes

builder.create_node( id="my-pipeline", kinds=[NodeKind.AZURE_DEVOPS_PIPELINE.value], name="My Pipeline", displayname="Production Pipeline", )

builder.create_node( id="my-ml-workspace", kinds=[NodeKind.AZURE_ML_WORKSPACE.value], name="ML Workspace", displayname="Training Workspace", )

Add edge

builder.create_edge( start_id="my-pipeline", end_id="my-ml-workspace", kind=EdgeType.SUBMITS_JOB, properties={"trust_boundary": "TB4"} )

Export

builder.save("custom_graph.json")

La sortie affichera OK/ÉCHEC par collecteur avant le début de toute collecte.

Résumé de la collecte

Après chaque exécution, Dop2Mop imprime un résumé indiquant ce qui a été collecté et ce qui a échoué :```

Dop2Mop Collection Summary

Total Nodes: 142 DevOps: 45 MLOps: 38 Identity: 12 Artifact: 47

Total Edges: 201 Contains: 62 TriggersPipeline: 15 ...

──────────────────────────────────────────────────────── Collection Issues: GitHubCollector: 45 collected, 3 failed, 1 skipped FAIL: branch_protection:org/repo - 404 Not Found SKIP: branch_protection:org/private - Insufficient permissions

Output: output.json