Le DeRF

DeRF (Detection Replay Framework) est un framework « Attaques en tant que service », permettant l'émulation de techniques offensives et la génération d'échantillons de détection reproductibles depuis une interface utilisateur - sans que les utilisateurs finaux aient besoin d'installer un logiciel, d'utiliser la CLI ou de posséder des identifiants dans l'environnement cible.

Lisez l'annonce de la sortie

Lisez la Documentation complète

Déploiement

DeRF est un framework pour exécuter des attaques et générer des échantillons de détection contre un compte AWS et un projet GCP. Ce framework est déployé sur un compte AWS ciblé et un projet GCP avec Terraform. Pour des instructions plus détaillées sur le déploiement, voir ici.

Étapes de déploiement

1. Complétez les prérequis - voir Prérequis.
2. Complétez les exigences système - voir Exigences système.
3. Clonez le dépôt Github sur votre système local.
   git clone https://github.com/vectra-ai-research/derf.git
4. Déployez Le DeRF via Terraform depuis le répertoire ./env-prod.
   export AWS_PROFILE=PROFILE
terraform init -backend-config=derf.conf
terraform plan -var-file=derf.tfvars
terraform apply -var-file=derf.tfvars

Exécution d'attaques

L'exécution d'attaques ciblant à la fois AWS et GCP est réalisée en invoquant un Google Cloud Workflow. Les workflows peuvent être invoqués soit depuis la Google Cloud Console, soit par programmation avec gcloud cli

Exécution d'attaques sur la console

1. Connectez-vous à la Google Cloud Console et naviguez vers la page des workflows.
2. Cliquez sur le nom du workflow correspondant à l'attaque que vous souhaitez exécuter.
3. Cliquez sur le bouton EXECUTE.
4. Référez-vous au panneau Code sur le côté droit et sélectionnez l'utilisateur sous lequel exécuter l'attaque en copiant l'une des entrées possibles.
5. Collez le json sélectionné dans le panneau Input sur le côté gauche.
6. Enfin, sélectionnez le bouton EXECUTE en bas de l'écran. Les résultats de l'attaque seront affichés sur le côté droit de l'écran.

Exécution d'attaques par programmation

1. Assurez-vous que l'outil en ligne de commande Google est installé localement. Référez-vous à la documentation maintenue par Google pour les instructions d'installation de gcloud cli.
2. Authentifiez-vous auprès du projet Google Cloud sur lequel DeRF est déployé.

gcloud auth login --project PROJECT_ID

3. Invoquez un workflow de technique d'attaque particulier avec gcloud cli. Voir la documentation de Google pour des instructions plus complètes sur le service workflows.

gcloud workflows run aws-ec2-get-user-data `--data={"user": "user01"}` 

Documentation

Construire la documentation localement

La documentation de ce projet est construite en utilisant mkdocs avec material. Depuis la racine de ce projet, vous pouvez toujours exécuter mkdocs pour voir la documentation rendue localement ou utiliser le raccourci Makefile docs, make docs-serve.

1. Installez les dépendances Python

pip install mkdocs-material mkdocs-awesome-pages-plugin

2. Démarrez le serveur mkdocs

mkdocs serve --livereload

3. Naviguez vers la documentation hébergée localement avec votre navigateur 127.0.0.1:8000

Remerciements

Mainteneur : @KatTraxler

Projets similaires

• Status Red Team par DataDog
• CNAPPGoat par Ermetic
• Atomic Red Team par Red Canary
• Leonidas par F-Secure
• pacu par Rhino Security Labs
• Amazon GuardDuty Tester
• CloudGoat par Rhino Security Labs

Contact

Si vous avez trouvé cet outil utile, souhaitez partager un cas d'utilisation intéressant, signaler des problèmes ou pour toute autre raison, partagez-les. Vous pouvez envoyer un e-mail à : [email protected].