AutoResponder

Outil de réponse aux incidents Carbon Black Response pour la chasse aux menaces dans un environnement

Qu'est-ce que c'est ?

AutoResponder est un outil destiné à aider les personnes à effectuer leurs tâches de réponse aux incidents AVEC l'aide des capacités impressionnantes de Carbon Black Response et SANS trop déranger les équipes informatiques/systèmes/réseaux

Que peut-il faire ?

À qui cela s'adresse-t-il ?

Comment ?

Pour ceux qui ne connaissent pas Carbon Black Response, c'est un produit assez incroyable qui apporte une solution aux cas de réponse aux incidents de manière unique et impressionnante. Carbon Black Response dispose d'une intégration API Python qui aide les gens à automatiser leurs tâches - ce qui fait gagner beaucoup de temps. Donc tout ce que vous voyez dans ce projet n'est que de la magie de l'API Python - rien de plus, rien de moins.

Mais pourquoi .. ?

Ces derniers mois, notre équipe a dû gérer de nombreux cas de réponse aux incidents. Bien que nous nous en soyons sortis comme des champions, j'ai remarqué que notre équipe avait du mal à communiquer avec les équipes informatiques/systèmes/réseaux du client et que la moindre recherche de fichier prenait des semaines. Parce que nous sommes le partenaire de réponse aux incidents de Carbon Black et parce que nous utilisons intensivement Carbon Black Response dans la plupart des cas où nous sommes impliqués, j'ai décidé d'écrire un outil pour aider notre équipe à accomplir de TRÈS GROS tâches en très peu de temps avec un minimum d'aide extérieure.

Quel est le problème ? Il y a d'autres outils et personnes pour cela

D'accord, imaginez un scénario où des centaines d'endpoints ont été compromis, l'attaquant a établi une persistance sur tous et a déposé une tonne de fichiers. Et quelle coïncidence - toute l'équipe informatique a décidé de partir en vacances en ne laissant personne au bureau pour gérer l'incident, et l'administrateur de domaine veut remplir un formulaire pour chaque touche pressée sur son clavier - éliminant votre capacité à identifier et éradiquer les menaces sur les systèmes compromis. Bonne chance ! (Histoire vraie d'ailleurs)

Comment puis-je l'utiliser ?

1. Téléchargez l'archive zip ou faites un git clone
2. Installez les modules requis avec pip3 install -r requirements.txt
3. Configurez l'API Carbon Black => https://cbapi.readthedocs.io/en/latest/
4. Mettez le feu

Analyse THOR

Pour analyser le dépôt de binaires avec THOR, vous avez juste besoin de

1. Obtenez le paquet thor linux
2. Ajoutez la licence valide (la licence d'essai n'est pas prise en charge)
3. Téléchargez le répertoire THOR sur le serveur CBR que vous souhaitez analyser (Master sur un seul serveur et Minion sur un environnement clusterisé)
4. Exécutez le module run-thor

Remerciements spéciaux à

Un grand merci à https://twitter.com/harunglec pour son aide avec le module de multi-threading.

Vous pouvez analyser l'ensemble du dépôt de binaires contenant les fichiers exécutables collectés par CBR avec THOR APT Scanner. https://twitter.com/thor_scanner

P.S

Ce n'est que du code Python - ce qui signifie que vous êtes libre de le modifier selon vos besoins. Veuillez signaler tout problème à => https://github.com/lawiet47/autoresponder/issues

Les modules actuels ont tous été testés sur des capteurs ayant Windows comme environnement OS. Mais vous pouvez aussi essayer sur Linux.