RedEye: कमांड एवं नियंत्रण लॉग विज़ुअलाइज़ेशन के लिए रेड टीम टूल

---

⚠️ यह रेपो वर्तमान में रखरखाव मोड में है ⚠️

यह GitHub रिपॉजिटरी अब सक्रिय विकास के अंतर्गत नहीं है। हम बग फिक्स के लिए समुदाय के मुद्दों और पुल रिक्वेस्ट की समीक्षा करेंगे, लेकिन कोई नई सुविधा नहीं जोड़ेंगे।

---

RedEye एक ओपन-सोर्स विश्लेषणात्मक टूल है जिसे CISA और DOE के Pacific Northwest National Laboratory द्वारा रेड टीमों को कमांड और नियंत्रण गतिविधियों को विज़ुअलाइज़ और रिपोर्ट करने में सहायता करने के लिए विकसित किया गया है। यह टूल एक ऑपरेटर को जटिल डेटा का आकलन और प्रदर्शन करने, शमन रणनीतियों का मूल्यांकन करने और रेड टीम मूल्यांकन के प्रत्युत्तर में प्रभावी निर्णय लेने में सक्षम बनाता है। यह टूल लॉग को पार्स करता है, जैसे Cobalt Strike से, और डेटा को आसानी से पचने योग्य प्रारूप में प्रस्तुत करता है। उपयोगकर्ता फिर टूल के भीतर प्रदर्शित गतिविधियों में टैग और टिप्पणियाँ जोड़ सकते हैं। ऑपरेटर रेडआई (RedEye) के प्रेजेंटेशन मोड का उपयोग करके हितधारकों को निष्कर्ष और वर्कफ़्लो प्रस्तुत कर सकते हैं।

RedEye एक ऑपरेटर को कुशलतापूर्वक यह करने में मदद कर सकता है:

• रेड टीम की मूल्यांकन गतिविधियों को पुनः चलाएँ और प्रदर्शित करें जैसे वे हुई थीं, न कि लॉग टेक्स्ट की हज़ारों पंक्तियों को मैन्युअल रूप से छानने के बजाय।
• प्रभावी निर्णय लेने में सक्षम बनाने के लिए जटिल मूल्यांकन डेटा प्रदर्शित और मूल्यांकन करें।
• रेड टीम मूल्यांकन या पेनिट्रेशन टेस्ट के दौरान लिए गए हमले की राह और हैक किए गए होस्ट की स्पष्ट समझ प्राप्त करें।

Red Team	Blue Team

त्वरित शुरुआत

1. डाउनलोड करें अपने OS के लिए नवीनतम RedEye बायनेरिज़* को रिलीज़ पृष्ठ से।
2. एक मोड चुनें और सर्वर चलाएँ
   • Red Team मोड पूर्ण सुविधा सेट को सक्षम करता है: C2 लॉग अपलोड करें, डेटा एक्सप्लोर करें और प्रस्तुतियाँ बनाएँ। Red Team मोड में चलाने के लिए आपको एक पासवर्ड प्रदान करना होगा। Red Team मोड में सर्वर शुरू करने के लिए, टर्मिनल में निम्नलिखित चलाएँ।

     ./RedEye --redTeam --password <your_password>
     

   • Blue Team मोड (डिफ़ॉल्ट) एक सरलीकृत, केवल-पढ़ने वाला UI सक्षम करता है, जो किसी Red Team द्वारा निर्यात किए गए अभियानों की समीक्षा करने के लिए है। Blue Team मोड में सर्वर शुरू करने के लिए, टर्मिनल में निम्नलिखित चलाएँ।

     ./RedEye   # या बस "RedEye" एक्ज़ीक्यूटेबल पर डबल-क्लिक करें
     

3. वेब ऐप का उपयोग करें ब्राउज़र में http://127.0.0.1:4000 पर। RedEye बाइनरी एक टर्मिनल विंडो में सर्वर के रूप में चलता है और आपके डिफ़ॉल्ट ब्राउज़र में स्वचालित रूप से वेब ऐप UI खोलेगा। RedEye सर्वर को बंद करने के लिए आपको टर्मिनल विंडो को बंद करना होगा।
4. शुरू करने के लिए gt.redeye उदाहरण डेटासेट को आयात करने का प्रयास करें। या कोई भिन्न उदाहरण डेटासेट आज़माएँ।

MacOS समस्या - RedEye को पहली बार चलाते समय, आपको "सत्यापित नहीं" त्रुटि मिल सकती है। आपको "सिस्टम प्राथमिकताएँ" > "सुरक्षा और गोपनीयता" > "सामान्य" पर जाना होगा और "फिर भी खोलें" पर क्लिक करना होगा। अधिक जानकारी Apple सहायता पृष्ठ पर।

RedEye की सुविधाओं के बारे में जानने के लिए उपयोगकर्ता गाइड का पालन करें।

---

रेड टीम और ब्लू टीम मोड

RedEye के दो मोड हैं जो रेड टीमिंग प्रक्रिया के दो चरणों को कवर करते हैं। रेड टीम मोड C2 डेटा आयात करने, आयातित डेटा को संपादित करने और टिप्पणियाँ और प्रस्तुतियाँ बनाने की अनुमति देता है। अभियान डेटा को क्यूरेट और एनोटेट करने के बाद, रेड टीमें अपने अभियान को एक स्टैंडअलोन .redeye फ़ाइल के रूप में निर्यात कर सकती हैं और रिपोर्टिंग और सुधार के लिए इसे ब्लू टीम को सौंप सकती हैं। ब्लू टीम मोड RedEye को किसी रेड टीम द्वारा निर्यात किए गए क्यूरेटेड डेटा को देखने के लिए एक सरल केवल-पढ़ने वाले मोड में चलाता है।

नोट: रेड और ब्लू टीम दोनों मोड को एक ही RedEye एप्लिकेशन बाइनरी से शुरू किया जा सकता है।

रेड टीम

डाउनलोड की गई बाइनरी दो भागों में आती है:

• RedEye एप्लिकेशन बाइनरी
• parsers फ़ोल्डर जिसमें पार्सर बाइनरी (जैसे cobalt-strike-parser Cobalt Strike लॉग पार्सर बाइनरी) हैं

RedEye को रेड टीम मोड में चलाने के तीन विकल्प हैं:

1. डाउनलोड की गई बाइनरी चलाएँ, इसमें --redTeam और पासवर्ड विकल्प पास करें:

   ./RedEye --redTeam --password <your_password>
   

2. प्रोजेक्ट को सीधे क्लोन करें, इंस्टॉल करें और चलाएँ (इसे लोकल बिल्ड अनुभाग में शामिल किया गया है)।
3. Docker Compose
   1. रेपो को क्लोन करें
   2. docker-compose.yml में एनवायरनमेंट वेरिएबल अपडेट करें।
   3. चलाएँ:

      docker-compose -f docker-compose.yml up -d redeye-core
      

ब्लू टीम

ब्लू टीम मोड एक सरलीकृत, केवल-पढ़ने वाला UI है जो उस डेटा को प्रदर्शित करता है जिसे किसी रेड टीम द्वारा क्यूरेट, एनोटेट और निर्यात किया गया है। यह मोड डिफ़ॉल्ट रूप से चलता है ताकि ब्लू टीम के लिए स्टार्टअप को सरल बनाया जा सके।

ब्लू टीम संस्करण को 'RedEye' एप्लिकेशन बाइनरी पर डबल-क्लिक करके चलाया जा सकता है। RedEye http://127.0.0.1:4000 पर (डिफ़ॉल्ट रूप से) चलता है और आपके डिफ़ॉल्ट ब्राउज़र को स्वचालित रूप से खोलेगा।

ब्लू टीम प्रेजेंटेशन हैंडऑफ़

यदि campaigns फ़ोल्डर RedEye एप्लिकेशन के समान निर्देशिका में स्थित है, तो RedEye इसके अंदर किसी भी .redeye अभियान फ़ाइलों को आयात करने का प्रयास करेगा। अभियान फ़ाइलों को रेड टीम मोड में निर्यात किया जा सकता है।

ब्लू टीम के लिए एक संस्करण तैयार करने के लिए, इन दो चरणों का पालन करें:

1. RedEye एप्लिकेशन बाइनरी को एक खाली फ़ोल्डर में कॉपी करें।
2. उसी निर्देशिका में एक campaigns फ़ोल्डर बनाएँ और उन .redeye अभियान फ़ाइलों को रखें जिन्हें आप भेजना चाहते हैं।

Folder/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

.redeye फ़ाइलों को ब्लू टीम मोड में "+ Add Campaign" डायलॉग के माध्यम से भी अपलोड किया जा सकता है।

उदाहरण डेटासेट

इस रेपो में डाउनलोड के लिए उदाहरण डेटासेट उपलब्ध हैं। ये ./applications/redeye-e2e/src/fixtures फ़ोल्डर में स्थित हैं।

• gtdataset - gt.redeye के रूप में और Cobalt Strike Logs के रूप में उपलब्ध
• smalldata - smalldata.redeye के रूप में और Cobalt Strike Logs के रूप में उपलब्ध
• testdata - Cobalt Strike Logs के रूप में उपलब्ध

आप किसी GitHub repo के केवल एक फ़ोल्डर को डाउनलोड करने के लिए download-directory.github.io जैसे टूल का उपयोग करना चाह सकते हैं

RedEye सर्वर पैरामीटर

विकल्प देखने के लिए ./Redeye -h टाइप करें