BLUESPAWN

Statut du code

Notre Mission

BLUESPAWN aide les équipes bleues à surveiller les systèmes en temps réel contre les attaquants actifs en détectant les activités anormales

Qu'est-ce que BLUESPAWN

BLUESPAWN est un outil de défense active et de détection et réponse sur les endpoints, ce qui signifie qu'il peut être utilisé par les défenseurs pour détecter, identifier et éliminer rapidement les activités malveillantes et les logiciels malveillants sur un réseau.

Impliquez-vous et Contribuez au projet

Vous voulez aider à rendre BLUESPAWN encore plus efficace pour localiser et arrêter les logiciels malveillants ? Rejoignez-nous sur le serveur Discord BLUESPAWN et aidez au développement ou même suggérez simplement une fonctionnalité ou signalez un bug. Aucune expérience requise - il n'y a pas de meilleure façon d'apprendre le développement ou la sécurité que de se lancer directement !

Si vous souhaitez contribuer du code, vous pouvez commencer par consulter notre page wiki sur la configuration de votre environnement de développement. N'hésitez pas à nous contacter sur Discord si vous rencontrez des problèmes lors de l'installation ! Nous suivons généralement les bogues et les nouvelles fonctionnalités via les Issues et nous coordonnons dans le chat lors des travaux de développement.

Pourquoi nous avons créé BLUESPAWN

Nous avons créé et open-sourcé cet outil pour un certain nombre de raisons, notamment :

• Aller plus vite : Nous voulions des outils spécifiquement conçus pour identifier rapidement les activités malveillantes sur un système
• Connaître notre couverture : Nous voulions savoir exactement ce que nos outils pouvaient détecter et ne pas dépendre autant de logiciels en boîte noire (comme les antivirus). Cette approche nous aidera à mieux concentrer nos efforts sur des axes spécifiques et à avoir confiance dans l'état des autres.
• Meilleure compréhension : Nous voulions mieux comprendre la surface d'attaque Windows afin de mieux la défendre
• Plus de logiciels open-source pour les équipes bleues : Bien qu'il existe de nombreux outils open-source pour les équipes rouges, la grande majorité des meilleurs outils pour les équipes bleues sont propriétaires (antivirus, EDR, SysInternals, etc.). Nous ne devrions pas avoir à compter sur la sécurité par l'obscurité pour empêcher les acteurs malveillants (c'est évidemment très difficile, mais il faut viser cela !)
• Démontrer les fonctionnalités des API du système d'exploitation : Nous avons passé au peigne fin une tonne de documentation Microsoft, de réponses StackOverflow, et plus encore pour créer cela. Espérons que d'autres trouveront une partie du code utile.

Couverture de MITRE ATT&CK

Visitez cette carte pour voir les capacités de couverture actuelles

Essayez BLUESPAWN

Note : BLUESPAWN est en développement actif alpha, donc de nombreuses fonctionnalités peuvent ne pas fonctionner comme prévu encore et les détections peuvent être trop limitées ou générer beaucoup de faux positifs.

Note 2 : BLUESPAWN est destiné à être exécuté par un professionnel de la sécurité dans la plupart des cas et, à ce titre, détectera parfois des activités non malveillantes. Bien que BLUESPAWN aide à faire remonter rapidement les choses potentiellement mauvaises, il attend de l'utilisateur qu'il utilise les informations disponibles pour prendre la décision finale.

0. Consultez les pages Wiki pour en savoir plus sur les options de ligne de commande, les exemples, et plus encore.
1. Téléchargez la dernière version depuis cette page
2. Ouvrez une invite de commande en tant qu'administrateur
3. Exécutez la commande suivante pour voir les options disponibles

.\BLUESPAWN-client-x64.exe --help

Mode Mitige

4. Exécutez la commande suivante depuis votre invite de commande administrateur pour auditer votre système concernant la présence de nombreux paramètres de sécurité

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

Mode Chasse

5. Exécutez BLUESPAWN depuis l'invite de commande administrateur pour rechercher des activités malveillantes sur le système

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

Mode Surveillance

6. Exécutez BLUESPAWN depuis l'invite de commande administrateur pour surveiller les activités malveillantes sur le système

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

Axes d'effort

BLUESPAWN se compose de 3 modes principaux listés ci-dessous. Plusieurs de ces modules ont des sous-modules (qui peuvent ne pas encore être créés dans la base de code) comme indiqué ci-dessous et tous sont à différents stades de planification, de recherche et de développement. De plus, ils sont soutenus par un certain nombre d'autres modules.

• Chasse (Recherche des preuves de comportement malveillant)

• Mitige (Atténue les vulnérabilités en appliquant des paramètres de sécurité)

• Surveillance (Surveille en continu le système pour détecter un comportement potentiellement malveillant)

• Analyse (Utilisé pour évaluer les éléments identifiés par les chasses et décider s'ils sont suspects/malveillants)

• Utilisateur (Contient le programme principal, IOBase et autres fonctions similaires)

• Util (Contient une collection de modules qui soutiennent les opérations de base)

  • Configurations
  • Journaux d'événements
  • Système de fichiers
  • Journalisation
  • PE
  • Processus

Conférences, publications et autres mentions

Voici quelques endroits où vous avez peut-être entendu parler du projet :)