Manuka

Description

Manuka est un honeypot de renseignement open source (OSINT) qui surveille les tentatives de reconnaissance par des acteurs malveillants et génère des renseignements exploitables pour les Blue Teams. Il crée un environnement simulé composé de sources OSINT mises en scène, telles que des profils de réseaux sociaux et des identifiants divulgués, et suit les signes d'intérêt des adversaires, en s'alignant étroitement sur le framework PRE-ATT&CK de MITRE. Manuka offre aux Blue Teams une visibilité supplémentaire sur la phase de reconnaissance pré-attaque et génère des signaux d'alerte précoce pour les défenseurs.

Bien qu'ils varient en taille et en sophistication, la plupart des honeypots traditionnels se concentrent sur les réseaux. Ces honeypots découvrent les attaquants de l'étape 2 (Armement) à l'étape 7 (Actions sur les objectifs) de la chaîne de cyberattaque, en partant du principe que les attaquants sondent déjà le réseau.

Manuka effectue la détection des menaces OSINT à l'étape 1 (Reconnaissance) de la chaîne de cyberattaque. Malgré des investissements de millions de dollars dans la défense des réseaux, les organisations peuvent être facilement compromises par une simple recherche Google. Un exemple récent est celui de pirates exposant des réunions d'entreprise, des séances de thérapie et des cours universitaires via des appels Zoom laissés sur le Web ouvert. Les entreprises ont besoin de détecter ces menaces OSINT sur leur périmètre mais manquent d'outils pour le faire.

Manuka est conçu pour passer à l'échelle. Les utilisateurs peuvent facilement ajouter de nouveaux modules d'écoute et les intégrer dans l'environnement Dockerisé. Ils peuvent coordonner plusieurs campagnes et honeypots simultanément pour élargir la surface des honeypots. De plus, les utilisateurs peuvent rapidement personnaliser et déployer Manuka pour correspondre à différents cas d'utilisation. Les données de Manuka sont conçues pour être facilement transférées vers d'autres outils d'analyse et de visualisation tiers dans le flux de travail d'une organisation.

Concevoir un honeypot OSINT présente un défi nouveau en raison de la complexité et de la large gamme de techniques OSINT. Cependant, un tel outil permettrait aux Blue Teamers de « décaler à gauche » dans leur stratégie de renseignement sur les cybermenaces.

Dashboard

Tool Design

Architecture

Manuka est construit sur les termes et processus clés suivants.

• Sources : Vecteurs OSINT possibles tels que les profils de réseaux sociaux, les identifiants exposés et le code source divulgué.
• Listeners : Serveurs qui surveillent les sources pour détecter les interactions avec les attaquants.
• Hits : Indicateurs d'intérêt tels que des tentatives de connexion avec des identifiants divulgués et des connexions sur les réseaux sociaux.
• Honeypots : Groupes de sources et de listeners organisés en une seule Campagne qui analyse et suit les hits au fil du temps.

System Design

Le framework lui-même se compose de plusieurs conteneurs Docker qui peuvent être déployés sur un seul hôte.

• manuka-server : Serveur central Golang qui effectue des opérations CRUD et ingère les hits provenant des listeners.
• manuka-listener : Serveur Golang modulaire qui peut remplir différents rôles de listener.
• manuka-client : Tableau de bord React pour la Blue Team afin de gérer les ressources de Manuka.

Ces conteneurs sont orchestrés via une seule commande docker-compose.

Development

En développement, les composants s'exécutent sur les ports suivants dans leurs conteneurs respectifs :

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Pour permettre au client et au serveur de communiquer sans problèmes CORS, une couche nginx supplémentaire sur localhost:8080 fait un proxy-pass de /api/ vers manuka-server et de / vers manuka-listener.

De plus, manuka-listener fonctionne sur les ports suivants :

1. 8081 pour la page de connexion simulée
2. 8082 pour interagir avec l'email simulé

Requirements

Voir les dépôts de composants individuels pour leurs exigences.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configure

1. Créez un fichier dans docker/secrets/postgres_password avec le mot de passe pour Postgres.
2. Configurez un compte Google pour Gmail afin de recevoir les emails des profils de réseaux sociaux.
3. Configurez Google Cloud Pub/Sub sur https://console.cloud.google.com/cloudpubsub pour la fonctionnalité de push email (guide : https://developers.google.com/gmail/api/guides/push). Le guide contiendra également des instructions pour créer un projet Cloud.
4. Créez le fichier docker/secrets/google_credentials.json avec les informations d'identification de votre projet.
5. Ajoutez le sujet créé sur Cloud Pub/Sub à docker/secrets/google_topic.
6. Obtenez un jeton oauth2 pour votre compte Google. Manuka nécessite un jeton oauth2 lors de sa première exécution. Par la suite, il renouvellera automatiquement le jeton. Enregistrez le jeton dans docker/secrets/google_oauth2_token.json.

Run

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Initialisez le service de push gmail de manuka-listener :
   1. Initialisez ngok ./ngok http <port manuka-listener> et notez l'URL https.
   2. Dans le menu de gauche du tableau de bord Google PubSub, allez dans Subscriptions -> <nom de l'abonnement> -> Edit Subscription et modifiez l'URL de l'endpoint en <URL https ngok>/notifications.
   3. Essayez d'envoyer un email depuis un autre compte vers le compte Gmail cible. Vous devriez voir POST /notifications 200 OK sur la console ngrok, et Received push notification sur la console Docker.

Production

En production, les ports suivants sont mappés à ces serveurs :

1. 8080: manuka-client at / and manuka-server at /api
2. 80: manuka-listener-login at / and manuka-listener-social at /notifications

Cela permet à tout domaine pointant vers votre serveur d'apparaître comme la page de connexion factice, tandis que le tableau de bord d'administration est disponible sur le port 8080. De plus, le tableau de bord d'administration est protégé par une authentification HTTP de base au niveau de nginx.

Requirements

Voir les dépôts de composants individuels pour leurs exigences.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configure

1. Similaire à la configuration pour le développement, assurez-vous que tous les secrets et les paramètres Google Cloud sont en place. Notez que l'URL de l'abonnement doit maintenant être à http://DOMAIN/notifications.
2. Pointez votre nom de domaine vers l'adresse IP de votre serveur.
3. Copiez docker/nginx/nginx.prod.conf.example vers docker/nginx/nginx.prod.conf et remplacez examplecompany.com par votre domaine de production.
4. Exécutez init-letsencrypt.sh pour générer vos certificats SSL.

Run

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME et NGINX_PASSWORD seront votre authentification de base du tableau de bord.
   2. COMPANY_NAME sera le nom de l'entreprise de la page de connexion factice.

Currently Supported Listeners

1. Social Listener

   Surveille les activités sociales sur Facebook et LinkedIn. Prend actuellement en charge la notification des tentatives de connexion réseau. Notez que le(s) compte(s) de réseaux sociaux surveillé(s) doivent avoir la notification par email activée. Le(s) compte(s) email correspondant(s) recevant les notifications par email des plateformes de réseaux sociaux doivent être configurés pour transférer ces emails vers le compte Gmail centralisé.

2. Login Listener

   Surveille les tentatives de connexion utilisant des identifiants divulgués sur le site honeypot.

Others

Category

OSINT - Open Source Intelligence

Acknowledgement

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock