caronte$

Caronte एक उपकरण है जो कैप्चर द फ्लैग (attack/defence) प्रकार के आयोजनों के दौरान नेटवर्क प्रवाह का विश्लेषण करता है। यह pcap फ़ाइलों में कैप्चर किए गए TCP पैकेटों को पुनः जोड़कर TCP कनेक्शनों का पुनर्निर्माण करता है, और प्रत्येक कनेक्शन का विश्लेषण करके उपयोगकर्ता-परिभाषित पैटर्न खोजता है। पैटर्न को regex या प्रोटोकॉल-विशिष्ट नियमों के रूप में परिभाषित किया जा सकता है। कनेक्शन प्रवाह को एक डेटाबेस में सहेजा जाता है और वेब एप्लिकेशन के साथ देखा जा सकता है। REST API भी प्रदान की गई हैं।

विशेषताएँ

• docker-compose के साथ तत्काल स्थापना
• कोई कॉन्फ़िगरेशन फ़ाइल नहीं, सेटिंग्स को GUI या API के माध्यम से बदला जा सकता है
• विश्लेषण किए जाने वाले pcaps को curl के माध्यम से, स्थानीय या दूरस्थ रूप से, या GUI के माध्यम से लोड किया जा सकता है
  • GUI से pcaps डाउनलोड करना और प्रत्येक pcap के लिए सभी विश्लेषण सांख्यिकी देखना भी संभव है
• उन कनेक्शनों की पहचान करने के लिए नियम बनाए जा सकते हैं जिनमें कुछ स्ट्रिंग्स हैं
  • पैटर्न मिलान नियमित अभिव्यक्ति (regex) के माध्यम से किया जाता है
  • UTF-8 और यूनिकोड प्रारूप में regex भी समर्थित हैं
• कनेक्शनों को सेवा के प्रकार द्वारा लेबल किया जा सकता है, जो पोर्ट नंबर द्वारा पहचाने जाते हैं
  • प्रत्येक सेवा को एक अलग रंग दिया जा सकता है
• पतों, पोर्ट, आयामों, समय, अवधि, मिलान किए गए नियमों द्वारा कनेक्शन फ़िल्टर करने की क्षमता
• एक समयरेखा प्रति मिनट नमूना किए गए विभिन्न मीट्रिक के साथ सांख्यिकी दिखाती है
  • इनमें से कुछ मीट्रिक हैं connections_per_service, client_bytes_per_service, server_bytes_per_service, duration_per service, matched_rules
    • matched_rules मीट्रिक के साथ flag_in और flag_out के बीच संबंध देखना संभव हो सकता है
  • समयरेखा में एक स्लाइडिंग विंडो है जिसका उपयोग एक निश्चित समय अंतराल में कनेक्शन खोजने के लिए किया जा सकता है
• शब्द, निषेधित शब्द, सटीक वाक्यांश, regex, निषेधित regex द्वारा उन्नत खोज
  • किए गए खोजों को बाद के समय में तुरंत दोहराने के लिए सहेजा जाता है
• पहचाने गए HTTP कनेक्शन स्वचालित रूप से पुनर्निर्मित किए जाते हैं
  • HTTP अनुरोधों को curl, fetch और python requests के माध्यम से दोहराया जा सकता है
  • संपीड़ित HTTP प्रतिक्रियाएं (gzip/deflate) स्वचालित रूप से डीकंप्रेस की जाती हैं
• hex और base64 सहित विभिन्न प्रारूपों में कनेक्शनों की सामग्री निर्यात और देखने की क्षमता
• JSON सामग्री को JSON ट्री व्यूअर में प्रदर्शित किया जाता है, HTML कोड को एक अलग विंडो में रेंडर किया जा सकता है

स्थापना

कारोंटे को स्थापित करने के दो तरीके हैं:

• Docker और docker-compose के साथ, सबसे तेज़ और आसान तरीका
• निर्भरताओं को मैन्युअल रूप से स्थापित करना और प्रोजेक्ट को संकलित करना

Docker के साथ चलाएँ

केवल ये काम करने हैं:

• repo को क्लोन करें, git clone https://github.com/eciavatta/caronte.git के साथ
• caronte फ़ोल्डर के अंदर, docker-compose up -d चलाएँ
• इमेज के संकलित होने की प्रतीक्षा करें और ब्राउज़र को http://localhost:3333 पर खोलें

मैन्युअल स्थापना

सबसे पहले निर्भरताओं को स्थापित करना है:

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

इसके बाद आपको प्रोजेक्ट को संकलित करना होगा, जो दो भागों से बना है:

• बैकएंड, जिसे go mod download && go build के साथ संकलित किया जा सकता है
• फ्रंटएंड, जिसे cd frontend && yarn install && yarn build के साथ संकलित किया जा सकता है

Caronte चलाने से पहले MongoDB का एक इंस्टेंस शुरू करें https://docs.mongodb.com/manual/administration/install-community/ जिसमें कोई प्रमाणीकरण नहीं है। सार्वजनिक इंटरफ़ेस पर MongoDB पोर्ट को उजागर न करने का ध्यान रखें।

बाइनरी को ./caronte के साथ चलाएँ। उपलब्ध कॉन्फ़िगरेशन विकल्प हैं:

-bind-address    address where server is bind (default "0.0.0.0")
-bind-port       port where server is bind (default 3333)
-db-name         name of database to use (default "caronte")
-mongo-host      address of MongoDB (default "localhost")
-mongo-port      port of MongoDB (default 27017)

कॉन्फ़िगरेशन

कॉन्फ़िगरेशन पहली बार प्रारंभ करने पर रनटाइम पर ग्राफिकल इंटरफ़ेस या API के माध्यम से होता है। निम्नलिखित सेट अप करना आवश्यक है:

• server_address: असुरक्षित मशीन का IP पता। pcaps में सभी कनेक्शनों का गंतव्य पता होना चाहिए। यदि प्रत्येक असुरक्षित सेवा का अपना IP है, तो यह पैरामीटर CIDR पता भी स्वीकार करता है। पता IPv4 या IPv6 दोनों हो सकता है।
• flag_regex: वह नियमित अभिव्यक्ति जो एक फ़्लैग से मेल खाती है। आमतौर पर प्रतियोगिता नियम पृष्ठ पर प्रदान की जाती है।
• auth_required: यदि सही है तो विश्लेषक की सुरक्षा के लिए बुनियादी प्रमाणीकरण सक्षम होता है।
• एक वैकल्पिक accounts सरणी, जिसमें अधिकृत उपयोगकर्ताओं की साख होती है।

दस्तावेज़ीकरण

बैकएंड, Go भाषा में लिखा गया है, इसे एक सेवा के रूप में डिज़ाइन किया गया है। यह REST API को उजागर करता है जिसका उपयोग React का उपयोग करके लिखे गए फ्रंटएंड द्वारा किया जाता है। उपलब्ध API की सूची उनके स्पष्टीकरण के साथ यहाँ उपलब्ध है: https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

स्क्रीनशॉट

नीचे कुछ स्क्रीनशॉट हैं जो टूल की मुख्य विशेषताएं दिखाते हैं।

मुख्य विंडो, कनेक्शन सूची और स्ट्रीम सामग्री के साथ

मुख्य विंडो, विस्तारित समयरेखा के साथ

नियम और सेवाएँ दृश्य

खोज और pcaps दृश्य

लाइसेंस

caronte को Emiliano Ciavatta द्वारा बनाया गया है और GPL-3.0 लाइसेंस के तहत लाइसेंस प्राप्त है।