BLUESPAWN

Statut du code

Notre Mission

BLUESPAWN aide les équipes bleues à surveiller les systèmes en temps réel contre les attaquants actifs en détectant les activités anormales

Qu'est-ce que BLUESPAWN

BLUESPAWN est un outil de défense active et de détection et réponse sur les endpoints, ce qui signifie qu'il peut être utilisé par les défenseurs pour détecter, identifier et éliminer rapidement les activités malveillantes et les logiciels malveillants sur un réseau.

Impliquez-vous et Contribuez au projet

Vous voulez aider à rendre BLUESPAWN encore plus efficace pour localiser et arrêter les logiciels malveillants ? Rejoignez-nous sur le serveur Discord BLUESPAWN et aidez au développement ou même suggérez simplement une fonctionnalité ou signalez un bug. Aucune expérience requise - il n'y a pas de meilleure façon d'apprendre le développement ou la sécurité que de se lancer directement !

Si vous souhaitez contribuer du code, vous pouvez commencer par consulter notre page wiki sur la configuration de votre environnement de développement. N'hésitez pas à nous contacter sur Discord si vous rencontrez des problèmes lors de l'installation ! Nous suivons généralement les bogues et les nouvelles fonctionnalités via les Issues et nous coordonnons dans le chat lors des travaux de développement.

Pourquoi nous avons créé BLUESPAWN

Nous avons créé et open-sourcé cet outil pour un certain nombre de raisons, notamment :

• Aller plus vite : Nous voulions des outils spécifiquement conçus pour identifier rapidement les activités malveillantes sur un système
• Connaître notre couverture : Nous voulions savoir exactement ce que nos outils pouvaient détecter et ne pas dépendre autant de logiciels en boîte noire (comme les antivirus). Cette approche nous aidera à mieux concentrer nos efforts sur des axes spécifiques et à avoir confiance dans l'état des autres.
• Meilleure compréhension : Nous voulions mieux comprendre la surface d'attaque Windows afin de mieux la défendre
• Plus de logiciels open-source pour les équipes bleues : Bien qu'il existe de nombreux outils open-source pour les équipes rouges, la grande majorité des meilleurs outils pour les équipes bleues sont propriétaires (antivirus, EDR, SysInternals, etc.). Nous ne devrions pas avoir à compter sur la sécurité par l'obscurité pour empêcher les acteurs malveillants (c'est évidemment très difficile, mais il faut viser cela !)
• Démontrer les fonctionnalités des API du système d'exploitation : Nous avons passé au peigne fin une tonne de documentation Microsoft, de réponses StackOverflow, et plus encore pour créer cela. Espérons que d'autres trouveront une partie du code utile.

Couverture de MITRE ATT&CK

Visitez cette carte pour voir les capacités de couverture actuelles

Essayez BLUESPAWN

Note : BLUESPAWN est en développement actif alpha, donc de nombreuses fonctionnalités peuvent ne pas fonctionner comme prévu encore et les détections peuvent être trop limitées ou générer beaucoup de faux positifs.

Note 2 : BLUESPAWN est destiné à être exécuté par un professionnel de la sécurité dans la plupart des cas et, à ce titre, détectera parfois des activités non malveillantes. Bien que BLUESPAWN aide à faire remonter rapidement les choses potentiellement mauvaises, il attend de l'utilisateur qu'il utilise les informations disponibles pour prendre la décision finale.

0. Consultez les pages Wiki pour en savoir plus sur les options de ligne de commande, les exemples, et plus encore.
1. Téléchargez la dernière version depuis cette page
2. Ouvrez une invite de commande en tant qu'administrateur
3. Exécutez la commande suivante pour voir les options disponibles

.\BLUESPAWN-client-x64.exe --help

Mode Mitige

4. Exécutez la commande suivante depuis votre invite de commande administrateur pour auditer votre système concernant la présence de nombreux paramètres de sécurité

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

Mode Chasse

5. Exécutez BLUESPAWN depuis l'invite de commande administrateur pour rechercher des activités malveillantes sur le système

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

Mode Surveillance

6. Exécutez BLUESPAWN depuis l'invite de commande administrateur pour surveiller les activités malveillantes sur le système

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

Axes d'effort

BLUESPAWN se compose de 3 modes principaux listés ci-dessous. Plusieurs de ces modules ont des sous-modules (qui peuvent ne pas encore être créés dans la base de code) comme indiqué ci-dessous et tous sont à différents stades de planification, de recherche et de développement. De plus, ils sont soutenus par un certain nombre d'autres modules.

• Chasse (Recherche des preuves de comportement malveillant)

• Mitige (Atténue les vulnérabilités en appliquant des paramètres de sécurité)

• Surveillance (Surveille en continu le système pour détecter un comportement potentiellement malveillant)

• Analyse (Utilisé pour évaluer les éléments identifiés par les chasses et décider s'ils sont suspects/malveillants)

• Utilisateur (Contient le programme principal, IOBase et autres fonctions similaires)

• Util (Contient une collection de modules qui soutiennent les opérations de base)

  • Configurations
  • Journaux d'événements
  • Système de fichiers
  • Journalisation
  • PE
  • Processus

Conférences, publications et autres mentions

Voici quelques endroits où vous avez peut-être entendu parler du projet :)

DEFCON 28 Blue Team Village - Aperçu, Diapositives

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

Article de recherche BLUESPAWN à l'UVA - Article, DOI 10.18130/v3-b1n6-ef83

Contactez-nous

Si vous avez des questions, commentaires ou suggestions, n'hésitez pas à nous envoyer un e-mail à [email protected] ou à nous envoyer un message sur le serveur Discord BLUESPAWN.

Licence et conformité

Le code principal de BLUESPAWN est sous licence GNU General Public License (GPL) v3.0.

Notez que le projet intègre plusieurs autres bibliothèques pour fournir des fonctionnalités/détections supplémentaires. L'une d'elles est la signature-base de Florian Roth, sous licence Creative Commons Attribution-NonCommercial 4.0 International. Les règles YARA de ce projet sont intégrées dans la version standard sans aucune modification. Afin d'utiliser BLUESPAWN à des fins commerciales, vous devez supprimer tout ce qui se trouve sous la ligne "Non-Commercial Only" dans ce fichier et recompiler le projet.

Auteurs du projet

Fait avec ❤️ par l'équipe de cyberdéfense de l'UVA et les autres personnes géniales de l'équipe de développement principale listées ci-dessous

• Jake Smith (Github, Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github, Twitter)
• Will Mayes (Github, Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

Contributeurs

Merci à toutes les personnes listées ci-dessous pour leurs contributions à BLUESPAWN !

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

Vous voulez aider ? Jetez un œil aux issues actuelles, ajoutez des idées pour de nouvelles fonctionnalités, écrivez du code et créez une pull request !

Remerciements spéciaux

Nous souhaitons remercier tout particulièrement les projets suivants qui nous ont aidés à construire BLUESPAWN :

• Le soutien de GitHub aux projets open-source, en particulier la possibilité d'utiliser GitHub Actions sans limite
• La documentation et les exemples de Microsoft sur l'API Windows
• L'Agence des systèmes d'information de la Défense (DISA) du Département de la Défense pour leur excellent travail de publication des STIG et de diverses autres directives techniques de sécurité pour Windows.
• Le PE Sieve de @hasherezade, qui gère actuellement notre analyse de processus
• Le projet YARA de VirusTotal que nous utilisons pour analyser les données à la recherche d'identifiants malveillants
• Le dépôt Rules du projet Yara Rules qui contient une grande collection de règles YARA open-source
• Le projet open-source signature-base de @Neo23x0 qui contient une grande collection de règles YARA
• Le projet ATT&CK de MITRE qui a mis en place un framework incroyable pour considérer, documenter et catégoriser les techniques des attaquants
• Les projets Atomic Red Team et Invoke-AtomicRedTeam de Red Canary qui ont été incroyablement utiles pour tester les détections que nous construisons
• L'initiative Open Source chez AWS d'Amazon qui a fourni à notre équipe des crédits promotionnels AWS pour nous aider à mieux rechercher et tester BLUESPAWN
• Le guide de transfert d'événements Windows de la Direction de la cybersécurité de la NSA
• Le blog sur la sécurité Active Directory de Sean Metcalf ADSecurity
• Le site web sur les composants Windows de Geoff Chappell
• Les recherches étonnantes de Matt Graeber sur la sécurité Windows, y compris son article sur le contournement de la confiance dans Windows