Outil open source d'audit de sécurité pour rechercher et extraire la configuration système.

Introduction

Objectif principal

L'hypothèse principale de la création de cet outil était une livraison plus facile et plus rapide d'ensembles de commandes à exécuter sur les environnements clients. À l'issue d'une telle analyse, je souhaitais obtenir les informations les plus utiles sur les composants du système qui seront soumis ultérieurement à des tests d'intrusion et à des audits.

Pour qui

Otseca facilite la collecte de nombreuses informations importantes sur un système donné.

Il est utile pour :

    :ballot_box_with_check: administrateurs système
    :ballot_box_with_check: chercheurs en sécurité
    :ballot_box_with_check: professionnels de la sécurité
    :ballot_box_with_check: testeurs d'intrusion
    :ballot_box_with_check: hackers

Comment utiliser

C'est simple :

# Clone this repository
git clone https://github.com/trimstray/otseca

# Go into the repository
cd otseca

# Install
./setup.sh install

# Run the app
otseca --ignore-failed --tasks system,network --output /tmp/report

le lien symbolique vers bin/otseca est placé dans /usr/local/bin

la page de manuel est placée dans /usr/local/man/man8

Astuce 1 Si vous ne souhaitez pas que le script s'arrête après avoir rencontré des erreurs, ajoutez le paramètre --ignore-failed.

Astuce 2 Utilisez --tasks <tâche_1,tâche_2,tâche_n> pour sélectionner uniquement certaines tâches.

Description

Otseca est un outil open source d'audit de sécurité pour rechercher et extraire la configuration système. Il vous permet de générer des rapports aux formats HTML ou RAW-HTML.

L'objectif de base est d'obtenir autant d'informations que possible sur le système scanné pour une analyse ultérieure. Otseca contient de nombreuses commandes prédéfinies, mais rien ne vous empêche de créer les vôtres selon vos besoins. De plus, il automatise l'ensemble du processus de collecte d'informations.

Une fois l'analyse terminée, un rapport est généré pour examiner les recoins spécifiques du système.

Prérequis

Cet outil fonctionne avec :

GNU/Linux (testé sur Debian et CentOS)
Bash (testé sur 4.4.19)

Vous aurez également besoin d'un accès root.

Sortie

Un exemple de résultat du processus de collecte d'informations à partir du système local :

Master

Paramètres

Voici la liste des options disponibles :

  Usage:
    otseca <option|long-option>

  Examples:
    otseca --help
    otseca --format html
    otseca --format html --ignore-failed
    otseca --format raw-html --tasks system,network

  Options:
        --help                      show this message
     -f|--format <key>              set output format (key: html/raw-html)
     -t|--tasks <key>               set specific task to do
                                    (key: system, kernel, permissions, services, network, distro, external)
     -o|--output <path>             set path to output directory report
        --show-errors               show stderr to output
        --ignore-failed             do not exit with nonzero on commands failed

Rapports

Otseca génère des rapports aux formats html (js, css et autres) ou raw-html (html pur).

Le chemin par défaut des rapports est le répertoire {project}/data/output. Si vous souhaitez le modifier, ajoutez l'option --output <path> lors de l'appel du script.

Page principale (index.html)

C'est le fichier principal qui contient une liste de rapports tels que system ou network.

Master

Rapports de tâches

Le rapport qui peut être effectué se compose des sections suivantes (stacks) :

system - extrait les informations des commandes système (fichier de sortie : system.all.log.html)
kernel - extrait les informations sur les paramètres du noyau (fichier de sortie : kernel.all.log.html)
permissions - extrait les informations sur les permissions (fichier de sortie : permissions.all.log.html)
services - extrait les informations sur les services système (fichier de sortie : services.all.log.html)
network - extrait les informations de la couche réseau (fichier de sortie : network.all.log.html)
distro - extrait les informations sur une distribution spécifique (fichier de sortie : distro.all.log.html)
external - toutes les tâches externes, y compris les tâches utilisateur ou incluses depuis le répertoire etc/ (fichier de sortie : external.all.log.html)

Les rapports HTML sont constitués des blocs suivants (exemple) :

Master

Fonctionnement

Tâches

Otseca divise son travail en tâches. Chaque ensemble de tâches exécute des commandes définies (par exemple à partir du fichier etc/otseca.conf). Par défaut, six tâches sont disponibles : system, kernel, permissions, services, network, distro et external.

Par défaut, toutes les tâches sont exécutées mais vous pouvez les spécifier avec le paramètre --tasks en donnant une ou plusieurs tâches comme argument. Par exemple :

otseca --ignore-failed --tasks system,kernel

Commandes

Ce sont les commandes réelles exécutées à partir du fichier de configuration regroupées en tâches.

Voici un exemple d'une tâche réseau contenant plusieurs commandes intégrées :

NETWORK_STACK=(\

  "_exec hostname -f" \
  "_exec ifconfig -a" \
  "_exec iwconfig" \
  "_exec netstat -tunap" \
  "_exec netstat -rn" \
  "_exec iptables -nL -v" \
  "_exec iptables -nL -v -t nat" \
  "_exec iptables -S" \
  "_exec lsof -ni" \

)

Sous-modules

Les sous-modules sont des fonctions intégrées qui exécutent les commandes décrites ci-dessus. Voici la liste des sous-modules :

_exec - initialise les commandes standard, ex. _exec ls -l /etc/rsyslog.conf
_grep - est responsable de la recherche de chaînes dans les fichiers, ex. _grep max_log_file /etc/audit/auditd.conf
_stat - collecte des informations sur les fichiers, ex. _stat /etc/ssh/sshd_config
_sysctl - compare les valeurs des paramètres du noyau, ex. _sysctl fs.suid_dumpable 1
_systemctl - vérifie le fonctionnement des services, ex. _systemctl httpd

États de sortie

Otseca prend en charge trois états de sortie (réponse) :

DONE - indique que la commande a été exécutée correctement, le plus souvent cela signifie que vous n'avez pas trouvé ce que vous cherchiez, ce qui est une bonne information. Le rapport est marqué en vert :
- depuis la sortie console :
- depuis la sortie rapport :
WARN - indique que la commande n'a pas été exécutée correctement (erreur de syntaxe, commande introuvable, fichier non trouvé, etc.). Le rapport est marqué en jaune :
- depuis la sortie console :
- depuis la sortie rapport :
TRUE - indique que la commande a été exécutée correctement et a trouvé ce que nous cherchions, par exemple des permissions trop larges pour le fichier /etc/sudoers. Le rapport est marqué en rouge :
- depuis la sortie console :
- depuis la sortie rapport :