BlueHound est un outil open-source qui aide les équipes bleues à identifier les problèmes de sécurité qui comptent vraiment. En combinant les informations sur les permissions utilisateur, l'accès réseau et les vulnérabilités non corrigées, BlueHound révèle les chemins qu'un attaquant emprunterait s'il était à l'intérieur de votre réseau.
C'est un fork de NeoDash, repensé pour le rendre adapté aux objectifs de sécurité défensive.

Pour commencer avec BlueHound, consultez notre vidéo d'introduction, article de blog et conférence Nodes22.

BlueHound permet de présenter vos données sous forme de tableaux, graphiques, diagrammes à barres, diagrammes linéaires, cartes et plus encore. Il contient un éditeur Cypher pour écrire directement les requêtes Cypher qui alimentent les rapports. Vous pouvez enregistrer des tableaux de bord dans votre base de données et les partager avec d'autres.

Fonctionnalités principales

1. Automatisation complète : Le cycle complet de collecte, d'analyse et de rapport se fait en un clic.
2. Axé sur la communauté : La configuration de BlueHound peut être exportée et importée par d'autres. Le partage de connaissances, de bonnes pratiques, de méthodologies de collecte et plus encore est intégré à l'outil.
3. Création de rapports facile : Créer un rapport personnalisé se fait de manière intuitive, sans avoir besoin d'écrire de code.
4. Personnalisation facile : Toute méthode de collecte personnalisée peut être ajoutée à BlueHound. Les utilisateurs peuvent même ajouter leurs propres paramètres personnalisés ou même des icônes personnalisées pour leurs graphiques.

Pour commencer

ISO ROST

BlueHound peut être utilisé dans le cadre de l'image ROST, qui est préconfigurée avec tout ce dont vous avez besoin (BlueHound, Neo4j, BloodHound et un jeu de données exemple).
Pour charger ROST, créez une nouvelle machine virtuelle et installez-la à partir de l'ISO comme vous le feriez pour un nouvel hôte Windows.

Binaire BlueHound

Si vous avez déjà une instance Neo4j en cours d'exécution, vous pouvez télécharger une version précompilée de BlueHound depuis notre page de versions. Téléchargez simplement le fichier zip adapté à votre version d'OS, extrayez-le et exécutez le binaire.

Utilisation de BlueHound

1. Connectez-vous à votre serveur Neo4j
2. Téléchargez SharpHound, ShotHound et l'analyseur de rapports du scanner de vulnérabilités
3. Utilisez la section Import de données pour collecter et importer des données dans votre base de données Neo4j.
4. Une fois les données chargées, utilisez l'onglet Configurations pour configurer les informations de base utilisées par les requêtes (par exemple le groupe Admins du domaine, les serveurs crown jewels).
5. Enfin, la section Requêtes peut être utilisée pour préparer les rapports.

BlueHound - Mode d'emploi

Collecte de données

La section Outils d'import de données permet de collecter des données en un clic. Par défaut, BlueHound est préconfiguré avec SharpHound, ShotHound et le script des scanners de vulnérabilités. Des outils supplémentaires peuvent être ajoutés pour une collecte de données plus poussée. Pour commencer :

1. Téléchargez les outils pertinents à l'aide de l'icône globe
2. Configurez le chemin de l'outil et ses arguments pour chaque outil
3. Exécutez les outils

Les outils intégrés peuvent être configurés pour télécharger automatiquement les résultats vers votre instance Neo4j.

Exécuter et visualiser les requêtes

Pour obtenir les résultats d'un graphique, utilisez l'icône Actualiser pour exécuter une requête spécifique, ou utilisez la section Exécuteur de requêtes pour exécuter les requêtes par lots. Les résultats sont mis en cache même après avoir fermé BlueHound et peuvent être réexécutés pour obtenir des résultats mis à jour.
Certains graphiques ont une icône Info qui explique la requête et/ou fournit des liens vers des informations supplémentaires.

Ajouter et modifier des requêtes

Vous pouvez modifier la requête pour des graphiques nouveaux et/ou existants en utilisant l'icône Paramètres dans la partie supérieure droite du graphique. Vous pouvez y utiliser les paramètres configurés avec un graphique Param Select et toute chaîne de Filtrage d'arêtes (voir section ci-dessous).

Filtrage des arêtes

En utilisant la section Filtrage des arêtes, vous pouvez filtrer des types de relations spécifiques pour toutes les requêtes qui utilisent la chaîne pertinente dans leur requête. Par exemple, ":FILTERED_EDGES" peut être utilisé pour filtrer selon tous les filtres de sélection.
Vous pouvez également filtrer par une catégorie spécifique (voir l'icône Info) ou même définir vos propres filtres d'arêtes personnalisés.

Import et export de la configuration

Les sections Exporter la configuration et Importer la configuration peuvent être utilisées pour sauvegarder et charger votre tableau de bord et vos configurations comme sauvegarde, et même partagées entre les utilisateurs pour collaborer et contribuer avec des requêtes instructives à la communauté de la sécurité. Ne vous inquiétez pas, vos identifiants et données ne seront pas exportés.

Remarque : tous les arguments des outils d'import de données sont également exportés, alors assurez-vous de supprimer tout secret avant de partager votre configuration.

Paramètres

La section Paramètres vous permet de définir des limites globales sur l'exécution des requêtes – temps maximum de requête et limite pour les résultats renvoyés.

Informations techniques

BlueHound est un fork de NeoDash, construit avec React et use-neo4j. Il utilise charts pour alimenter certaines des visualisations. Vous pouvez également étendre NeoDash avec vos propres visualisations. Consultez le guide du développeur dans le dépôt du projet.

Guide du développeur

Exécuter et construire avec npm

BlueHound est construit avec React. Vous aurez besoin de npm installé pour exécuter l'application web.

Utilisez une version récente de npm et node pour construire BlueHound. L'application a été testée avec npm 8.3.1 et node v17.4.0.

Pour exécuter l'application en mode développement :

• clonez ce dépôt.
• ouvrez un terminal et naviguez jusqu'au répertoire que vous venez de cloner.
• exécutez npm install pour installer les dépendances nécessaires.
• exécutez npm run dev pour lancer l'application en mode développement.
• l'application devrait être disponible à l'adresse http://localhost:3000.

Pour construire l'application pour la production :

• suivez les étapes ci-dessus pour cloner le dépôt et installer les dépendances.
• exécutez npm run build. Cela créera un dossier build dans votre répertoire de projet.
• déployez le contenu du dossier build sur un serveur web. Vous devriez alors pouvoir exécuter l'application web.

Questions / Suggestions

Nous sommes toujours ouverts aux idées, commentaires et suggestions concernant les futures versions de BlueHound. Si vous avez des idées, n'hésitez pas à nous contacter à [email protected] ou à ouvrir un issue/pull request sur GitHub.