invoke-ir/acePlateforme automatisée de collecte et d'enrichissement
La plateforme Collecte et Enrichissement Automatisés (ACE) est un ensemble d'outils permettant aux chasseurs de menaces de collecter des données sur de nombreux terminaux dans un réseau et d'enrichir automatiquement ces données. Les données sont collectées en exécutant des scripts sur chaque ordinateur sans installer de logiciel sur la cible. ACE prend en charge la collecte à partir de systèmes Windows, macOS et Linux.
ACE vise à simplifier le processus de collecte à distance de données dans un environnement en offrant la gestion des identifiants, la planification, la gestion centralisée des scripts et le téléchargement distant de fichiers. ACE est conçu pour compléter un SIEM en collectant et en enrichissant les données ; l'analyse finale est mieux adaptée à des outils SIEM tels que Splunk, ELK ou les outils préférés de l'analyste.
ACE est né du besoin de réaliser des évaluations de compromission dans des environnements présentant des restrictions courantes :
ACE comporte quatre composants : le service web ACE, le proxy web ACE Nginx, la base de données ACE SQL et la file de messages ACE RabbitMQ. Le service web est une API RESTful qui reçoit les requêtes des clients pour planifier et gérer les analyses. La base de données SQL stocke la configuration et les données des analyses. Le service RabbitMQ gère l'enrichissement automatisé des données.
Le dépôt ACE comprend une collection de scripts PowerShell pour interagir avec le service web ACE, notamment pour ajouter des utilisateurs, gérer les identifiants, télécharger des scripts de collecte et planifier des analyses.
Après avoir déployé les serveurs ACE, utilisez New-AceUser pour créer un nouvel utilisateur ACE.
Supprimez l'utilisateur par défaut "Admin" avec Remove-AceUser.
Utilisez New-AceCredential pour saisir un ensemble d'identifiants.
Exécutez Start-AceDiscovery pour trouver automatiquement les ordinateurs sur le domaine Windows.
Exécutez Start-AceSweep pour lancer une analyse afin d'exécuter les scripts sélectionnés sur les points de terminaison découverts.
Les contributions à ACE sont toujours les bienvenues.
