Egress-Assess

Egress-Assess est un outil utilisé pour tester les capacités de détection des données sortantes.

Configuration

Pour configurer, exécutez le script d'installation inclus ou effectuez les opérations suivantes :

1. Installer pyftpdlib
2. Générer un certificat serveur et le stocker sous « server.pem » au même niveau que Egress-Assess. Cela peut être fait avec la commande suivante :

openssl req -new -x509 -keyout server.pem -out server.pem -days 365 -nodes

Utilisation

Des articles de blog sont disponibles ici :

• https://www.christophertruncer.com/egress-assess-testing-egress-data-detection-capabilities/
• https://www.christophertruncer.com/egress-assess-action-via-powershell/

Le cas d'utilisation typique d'Egress-Assess consiste à copier cet outil dans deux emplacements. Un emplacement agira comme serveur, l'autre comme client. Egress-Assess peut envoyer des données via FTP, HTTP et HTTPS.

Pour extraire des données via FTP, vous devez d'abord démarrer le serveur FTP d'Egress-Assess en sélectionnant « --server ftp » et en fournissant un nom d'utilisateur et un mot de passe à utiliser :

./Egress-Assess.py --server ftp --username testuser --password pass123

Maintenant, pour que le client se connecte et envoie des données au serveur FTP, vous pouvez exécuter...

./Egress-Assess.py --client ftp --username testuser --password pass123 --ip 192.168.63.149 --datatype ssn

De plus, vous pouvez configurer Egress-Assess pour agir comme un serveur web en exécutant....

./Egress-Assess.py --server https

Ensuite, pour envoyer des données au serveur FTP, et spécifiquement pour envoyer 15 Mo de données de carte de crédit, exécutez la commande suivante...

./Egress-Assess.py --client https --data-size 15 --ip 192.168.63.149 --datatype cc

Autres points à noter :

• dns_complete est une version améliorée du module DNS Server. Utilisant DNSLib, ce module peut écouter et répondre aux requêtes provenant des enregistrements TXT et A, décoder les requêtes en utilisant le format correct et écrire la sortie dans un fichier.
• SMB dispose d'une option pour le support SMB2 ou non. Les systèmes Windows10 plus récents ont généralement SMBv1 désactivé. Pour cette raison, SMBv2 est la valeur par défaut ; vous pouvez utiliser l'option pour désactiver SMBv2.

Comment les protocoles tentent l'exfiltration

• SMTP - Le client crée un message électronique en plaçant les données dans le corps du message ou, s'il s'agit d'un fichier, en pièce jointe. Le client tente ensuite d'établir une connexion SMTP vers le serveur EgressAssess sur le port 25 (ou un port alternatif fourni). Le serveur SMTP ne nécessite pas d'authentification, accepte la connexion entrante et traite l'e-mail. Le traitement du message électronique extrait les données du corps de l'e-mail ou du fichier joint dans le message. Ce test ne tente pas d'envoyer l'e-mail via le serveur de messagerie de l'organisation.

• SMTP_Outlook – (Ce module est disponible uniquement dans le client PowerShell). Si un client Outlook a été préalablement configuré, le client PowerShell crée un objet COM pour Outlook (cela peut nécessiter que l'utilisateur fournisse une authentification selon la configuration). Le client PowerShell crée ensuite un message électronique avec les données dans le corps de l'e-mail ou, s'il s'agit d'un fichier, en pièce jointe. Les e-mails sont envoyés depuis Outlook en tant qu'utilisateur préalablement configuré. (Certains paramètres de sécurité peuvent avertir l'utilisateur qu'un programme tente d'envoyer des e-mails en arrière-plan et qu'il faut autoriser). Pour que ce module fonctionne, un enregistrement MX doit être créé pour le serveur EgressAssess. Le serveur SMTP EgressAssess accepte tous les messages électroniques envoyés au domaine de l'enregistrement MX et reçoit l'e-mail avec les pièces jointes ou les données sous forme de texte dans le corps de l'e-mail. Invoke-EssessAgress -Client SMTPOutlook -IP <domain of SMTP Sever> -NoPing -DataType "ssn"

• ICMP - Les données sont divisées en octets et encodées en base64, puis envoyées sur le réseau dans une requête ECHO de type ICMP 8. Les données sont placées dans le champ de données du paquet. Les requêtes ECHO sont envoyées en continu au serveur EgressAssess qui reçoit la requête ICMP, collecte les données et les décode.

• FTP - Les données et fichiers sont téléchargés sur le serveur FTP EgressAssess selon l'utilisation typique du protocole. Un nom d'utilisateur et un mot de passe sont utilisés pour accéder au serveur. Voir les exemples ci-dessus.

• SFTP - Les données et fichiers sont téléchargés en suivant le protocole SFTP. Un nom d'utilisateur et un mot de passe sont utilisés pour accéder au serveur.

• HTTP(S) - Les données et fichiers sont envoyés via une requête web POST au serveur web EgressAssess. Pour le client Python, les données sont postées sur http(s):///post_data.php et pour le client PowerShell, les données sont postées sur http(s):///posh_file.php.

• SMB - Le serveur EgressAssess (utilisant SimpleSMBserver d'Impacket) crée un partage SMB /TRANSFER. Le système client se connecte au partage sans authentification et transfère le fichier. C'est comme se connecter à un partage réseau et copier un fichier. Il est également possible d'ajouter un nom d'utilisateur et un mot de passe pour l'authentification si souhaité. Comme mentionné ci-dessus, déterminez le système à partir duquel vous effectuez la sortie et ses politiques de sécurité pour savoir si vous pouvez utiliser l'ancien SMBv1 vulnérable ou si vous devez activer SMBv2.