Dop2Mop

OpenGraph collector for BloodHound जो DevOps से MLOps बुनियादी ढांचे तक हमले के रास्तों का मानचित्रण करता है, पार्श्व गति विश्लेषण के लिए CI/CD पाइपलाइन, सेवा प्रमुख, और ML प्लेटफ़ॉर्म संसाधनों को एकत्र करता है।

• मूल संग्रह
• एकल प्लेटफ़ॉर्म संग्रह
• एकाधिक प्लेटफ़ॉर्म संग्रह
• GitHub संग्रह उदाहरण
• Azure DevOps संग्रह उदाहरण
• Azure ML संग्रह उदाहरण
• AWS SageMaker संग्रह उदाहरण
• पूर्ण वातावरण संग्रह

स्वीकृतियाँ

• SpecterOps BloodHound और OpenGraph के लिए

अवलोकन

Dop2Mop DevOps और MLOps प्लेटफ़ॉर्म से डेटा एकत्र करता है ताकि उन हमले के पथों की पहचान की जा सके जो CI/CD पाइपलाइनों से मशीन लर्निंग प्रशिक्षण बुनियादी ढांचे तक पार्श्विक गति को सक्षम बनाते हैं। यह विज़ुअलाइज़ेशन और विश्लेषण के लिए BloodHound-संगत OpenGraph JSON आउटपुट करता है।

समर्थित प्लेटफ़ॉर्म

मैप किए गए विश्वास सीमाएँ

Dop2Mop अनुसंधान में पहचानी गई पाँच महत्वपूर्ण विश्वास सीमाओं का मॉडल तैयार करता है:

1. TB1: कोड रिपॉजिटरी से CI/CD पाइपलाइन - कोड कमिट से पाइपलाइनों का स्वचालित ट्रिगरिंग
2. TB2: सेवा प्रिंसिपल प्रमाणीकरण - ML प्लेटफ़ॉर्मों तक पहुँचने के लिए पाइपलाइनों द्वारा उपयोग किए जाने वाले NHI क्रेडेंशियल
3. TB3: कंटेनर आर्टिफैक्ट विश्वास - आंतरिक रजिस्ट्रियों से कंटेनर छवियों में निहित विश्वास
4. TB4: जॉब परिभाषा निष्पादन - ML प्लेटफ़ॉर्म बिना सत्यापन के जॉब परिभाषाएँ निष्पादित कर रहे हैं
5. TB5: कोड डिसीरियलाइज़ेशन - डेटासेट का असुरक्षित डिसीरियलाइज़ेशन (pickle, joblib)

स्थापना```bash

git clone https://github.com/h4wkst3r/dop2mop.git cd dop2mop pip install -r requirements.txt pip install -e .

BloodHound में इन्जेस्ट करें

1. BloodHound CE (v8.0+) खोलें
2. प्रशासन → फ़ाइल इन्जेस्ट पर जाएँ
3. जनरेटेड JSON फ़ाइल अपलोड करें
4. Cypher के साथ क्वेरी करें:```cypher // Azure DevOps to Azure ML Lateral Movement MATCH p=(repo)-[:TriggersPipeline]->(pipeline)-[:UsesServiceConnection]->(svcconn)-[:AuthenticatesAs]->(workspace)-[:CodeExecution]->(compute) RETURN p

// Container Image Poisoning (Supply Chain Attack) MATCH p=(workflow)-[:CanPoisonImage]->(image)<-[:PullsImage]-(job) RETURN p

// OIDC/Federated Identity Abuse (confirmed edges) MATCH p=(workflow)-[:OIDCTrust]->(oidc)-[:CanAssumeRole]->(role)-[:SubmitsJob]->(job) RETURN p

// OIDC abuse including inferred paths MATCH p=(workflow)-[:OIDCTrust]->(oidc)-[:InferredCanAssumeRole]->(role) RETURN p

// Dataset Poisoning via Pickle Deserialization MATCH p=(workflow)-[:CanPoisonDataset]->(dataset)<-[:LoadsDataset]-(job) RETURN p

// Find repos with weak/no branch protection (TB1 exploitable) MATCH (repo)-[:BypassesProtection]->(repo) RETURN repo.name, repo.default_branch

// Find overprivileged SageMaker IAM roles MATCH (role:IAMRole) WHERE role.is_admin = true OR role.has_s3_full_access = true RETURN role.name, role.attached_policies

// Find SageMaker notebooks with root + internet access MATCH (nb:SMNotebook) WHERE nb.root_access = 'Enabled' AND nb.direct_internet_access = 'Enabled' RETURN nb.name, nb.status

// Find self-hosted ADO agent pools MATCH (agent:ADOAgent) WHERE agent.is_hosted = false RETURN agent.name, agent.pool_type

Dop2Mop इन स्थानों की क्रम से जाँच करता है:

1. --config द्वारा निर्दिष्ट पथ
2. वर्तमान निर्देशिका में dop2mop.yaml / dop2mop.yml / .dop2mop.yaml
3. ~/.dop2mop.yaml

नोट: क्रेडेंशियल्स को गलती से कमिट होने से रोकने के लिए dop2mop.yaml .gitignore में है। उदाहरण फ़ाइल (dop2mop.yaml.example) कमिट करने के लिए सुरक्षित है।

सभी उपलब्ध विकल्पों को टिप्पणियों सहित देखने के लिए dop2mop.yaml.example देखें।

प्राथमिकता क्रम: CLI तर्क > कॉन्फ़िग फ़ाइल > पर्यावरण चर।

क्रेडेंशियल सत्यापन

पूर्ण संग्रह चलाने से पहले क्रेडेंशियल का परीक्षण करें:```bash

Validate all configured collectors

dop2mop collect --validate -v

Validate specific collectors

dop2mop collect --validate --collectors github,sagemaker -v

CLI संदर्भ

कमांड अवलोकन```

dop2mop [options]

Commands: collect Collect data from DevOps/MLOps platforms demo Generate demo data with attack scenarios

सामान्य विकल्प

GitHub विकल्प

Azure DevOps विकल्प

Azure ML विकल्प

AWS SageMaker विकल्प

उपलब्ध कलेक्टर

dop2mop demo

शोध के चार हमले परिदृश्यों को दर्शाने वाला डेमो डेटा जनरेट करें।```bash dop2mop demo [OPTIONS]

CLI उपयोग उदाहरण

मूल संग्रह```bash

Collect from all configured platforms (uses environment variables)

dop2mop collect -o output.json

Use a config file

dop2mop collect --config dop2mop.yaml -o output.json -v

Validate credentials first, then collect

dop2mop collect --validate -o output.json -v

Collect with verbose logging

dop2mop collect -o output.json -v

Collect with debug logging

dop2mop collect -o output.json --debug

Collect and compress to ZIP

dop2mop collect -o output.json --zip

Limit collection size

dop2mop collect --max-items 100 -o output.json

Skip secret enumeration

dop2mop collect --no-secrets -o output.json

बहु-प्लेटफ़ॉर्म संग्रह```bash

GitHub + SageMaker

dop2mop collect --collectors github,sagemaker -o output.json -v

GitHub + Azure DevOps

dop2mop collect --collectors github,ado -o output.json -v

Azure DevOps + Azure ML (full Azure stack)

dop2mop collect --collectors ado,azureml -o azure.json -v

All collectors explicitly

dop2mop collect --collectors github,ado,azureml,sagemaker -o full.json -v

Azure DevOps संग्रह उदाहरण```bash

Using environment variables

export AZURE_DEVOPS_TOKEN="your-pat" export AZURE_DEVOPS_ORG="your-org" dop2mop collect --collectors AzureDevOpsCollector -o ado.json -v

Using command-line arguments (PAT)

dop2mop collect --collectors AzureDevOpsCollector
--azure-devops-token your-pat
--azure-devops-org your-org
-o ado.json -v

Using access token (Bearer auth)

dop2mop collect --collectors AzureDevOpsCollector
--azure-devops-access-token eyJ0...
--azure-devops-org your-org
-o ado.json -v

नोट: Azure ML प्रमाणीकरण प्राथमिकता: access token > service principal > DefaultAzureCredential (az login). एक्सेस टोकन az account get-access-token --resource https://management.azure.com/ के माध्यम से प्राप्त किए जा सकते हैं।

AWS SageMaker Collection Examples```bash

Using AWS profile (environment variable)

export AWS_PROFILE="your-profile" dop2mop collect --collectors SageMakerCollector -o sagemaker.json -v

Using AWS profile (command-line)

dop2mop collect --collectors SageMakerCollector
--aws-profile your-profile
-o sagemaker.json -v

Using access keys

dop2mop collect --collectors SageMakerCollector
--aws-access-key-id AKIAXXXXXXXXXXXXXXXX
--aws-secret-access-key xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
--aws-region us-east-1
-o sagemaker.json -v

Different AWS region

dop2mop collect --collectors SageMakerCollector
--aws-profile your-profile
--aws-region us-west-2
-o sagemaker.json -v

पर्यावरण चर

सभी कमांड-लाइन विकल्पों को पर्यावरण चर के माध्यम से सेट किया जा सकता है:

प्राथमिकता: CLI तर्क > कॉन्फ़िग फ़ाइल > पर्यावरण चर।

नोड प्रकार

DevOps नोड

MLOps नोड

पहचान नोड

आर्टिफैक्ट नोड

एज प्रकार

आक्रमण पथ एज

अनुमानित एज

ये एज ह्युरिस्टिक विश्लेषण द्वारा बनाए गए हैं जब स्पष्ट API डेटा उपलब्ध नहीं होता है (जैसे, गुप्त कुंजियों में संग्रहीत भूमिका ARNs)। ये विशिष्ट एज प्रकारों का उपयोग करते हैं ताकि आप BloodHound क्वेरी में उन्हें फ़िल्टर कर सकें।

संरचनात्मक एज

उदाहरण क्वेरी

व्यापक क्वेरी उदाहरणों के लिए queries/dop2mop_queries.cypher देखें।

यह खंड कृत्रिम रूप से विच्छेदित किया गया है - अगले खंड के साथ निर्बाध रूप से जुड़ता है।

कस्टम आइकन

Dop2Mop में BloodHound कस्टम नोड प्रकारों के लिए एक पूर्व-कॉन्फ़िगर आइकन फ़ाइल data/custom_icons.json में शामिल है।

BloodHound में आइकन अपलोड करना

विकल्प 1: API एक्सप्लोरर (सबसे आसान)

1. BloodHound CE खोलें और सेटिंग्स → API एक्सप्लोरर पर जाएँ
2. POST /api/v2/custom-nodes खोजें
3. "Try it out" पर क्लिक करें
4. custom_icons.json की सामग्री पेस्ट करें
5. "Execute" पर क्लिक करें

विकल्प 2: HMAC प्रमाणीकरण (स्वचालन के लिए अनुशंसित)

पहले, BloodHound में एक API टोकन बनाएँ:

1. सेटिंग्स → प्रशासन → उपयोगकर्ता प्रबंधित करें पर जाएँ
2. अपने उपयोगकर्ता पर क्लिक करें → टोकन बनाएँ
3. टोकन ID और टोकन कुंजी सहेजें

फिर अपलोड करने के लिए इस Python स्क्रिप्ट का उपयोग करें:```python #!/usr/bin/env python3 """Upload custom icons to BloodHound CE using HMAC authentication."""

import base64 import hashlib import hmac import json from datetime import datetime, timezone import requests

Configuration

BLOODHOUND_URL = "http://localhost:8080" TOKEN_ID = "your-token-id" TOKEN_KEY = "your-token-key" ICONS_FILE = "custom_icons.json"

def hmac_auth(method: str, uri: str, body: bytes = b"") -> dict: """Generate HMAC authentication headers.""" digester = hmac.new( base64.b64decode(TOKEN_KEY), msg=None, digestmod=hashlib.sha256 )

def upload_icons(): """Upload custom icons to BloodHound.""" uri = "/api/v2/custom-nodes" url = f"{BLOODHOUND_URL}{uri}"

if name == "main": upload_icons()

पायथन एपीआई```python

from dop2mop import Dop2MopCollector, CollectorConfig

Configure collection

config = CollectorConfig( github_token="ghp_xxx", github_org="myorg", aws_profile="default", )

Validate credentials first

collector = Dop2MopCollector(config) results = collector.validate_all() print(results) # {'GitHubCollector': True, 'SageMakerCollector': True, ...}

Run collection (supports aliases)

collector.run(collectors=["github", "sm"])

Save output

collector.save("output.json")

Get statistics

print(collector.get_stats())

Get per-collector failure/skip details

print(collector.get_collection_summary())

कस्टम ग्राफ़ बनाना```python

from dop2mop.graph import OpenGraphBuilder from dop2mop.models import NodeKind, EdgeType

builder = OpenGraphBuilder(source_kind="CustomSource")

Add nodes

builder.create_node( id="my-pipeline", kinds=[NodeKind.AZURE_DEVOPS_PIPELINE.value], name="My Pipeline", displayname="Production Pipeline", )

builder.create_node( id="my-ml-workspace", kinds=[NodeKind.AZURE_ML_WORKSPACE.value], name="ML Workspace", displayname="Training Workspace", )

Add edge

builder.create_edge( start_id="my-pipeline", end_id="my-ml-workspace", kind=EdgeType.SUBMITS_JOB, properties={"trust_boundary": "TB4"} )

Export

builder.save("custom_graph.json")

आउटपुट किसी भी संग्रह शुरू होने से पहले प्रति कलेक्टर OK/FAILED दिखाएगा।

संग्रह सारांश

प्रत्येक रन के बाद, Dop2Mop एक सारांश प्रिंट करता है जो दिखाता है कि क्या एकत्र किया गया और क्या विफल रहा:```

Dop2Mop Collection Summary

Total Nodes: 142 DevOps: 45 MLOps: 38 Identity: 12 Artifact: 47

Total Edges: 201 Contains: 62 TriggersPipeline: 15 ...

──────────────────────────────────────────────────────── Collection Issues: GitHubCollector: 45 collected, 3 failed, 1 skipped FAIL: branch_protection:org/repo - 404 Not Found SKIP: branch_protection:org/private - Insufficient permissions

Output: output.json