payloadsecurity/sandbox_scryerसार्वजनिक सैंडबॉक्स विस्फोट रिपोर्टों को पार्स करता है, खतरा शिकार बुद्धिमत्ता उत्पन्न करता है, MITRE ATT&CK के माध्यम से निष्कर्षों को व्यवस्थित करता है, IOCs एकत्र करता है, और स्केल किए गए हमले के विश्लेषण के लिए Navigator हीटमैप उत्पन्न करता है।
Sandbox Scryer एक ओपन-सोर्स टूल है जो सार्वजनिक सैंडबॉक्स विस्फोट आउटपुट से खतरे की खोज और खुफिया डेटा उत्पन्न करने के लिए है। यह टूल MITRE ATT&CK Framework का उपयोग करके निष्कर्षों को व्यवस्थित और प्राथमिकता देता है, IOCs के संयोजन, हमले की गति को समझने और खतरे की खोज में सहायता करता है। शोधकर्ताओं को हजारों नमूने एक सैंडबॉक्स में भेजकर एक प्रोफ़ाइल बनाने की अनुमति देकर जिसका उपयोग ATT&CK तकनीक के साथ किया जा सकता है, Sandbox Scryer एक अभूतपूर्व क्षमता प्रदान करता है उपयोग मामलों को बड़े पैमाने पर हल करने की। यह टूल साइबर सुरक्षा पेशेवरों के लिए है जो सैंडबॉक्स आउटपुट डेटा का लाभ उठाकर खतरे की खोज और हमले के विश्लेषण में रुचि रखते हैं। Sandbox Scryer टूल वर्तमान में मुफ्त और सार्वजनिक Hybrid Analysis मैलवेयर विश्लेषण सेवा से आउटपुट का उपभोग करता है, जो विश्लेषकों को खतरे की खोज को तेज और स्केल करने में मदद करता है।
[root] version.txt - वर्तमान टूल संस्करण LICENSE - स्रोत और अन्य सामग्री के लिए लाइसेंस परिभाषित करता है README.md - यह फ़ाइल
[root\bin] \Linux - Linux में टूल चलाने के लिए पूर्व-निर्मित बाइनरी। वर्तमान में समर्थन: Ubuntu x64 \MacOS - MacOS में टूल चलाने के लिए पूर्व-निर्मित बाइनरी। वर्तमान में समर्थन: OSX 10.15 x64 \Windows - Windows में टूल चलाने के लिए पूर्व-निर्मित बाइनरी। वर्तमान में समर्थन: Win10 x64
[root\presentation_video] Sandbox_Scryer__BlackHat_Presentation_and_demo.mp4 - स्लाइड डेक के माध्यम से चलने और टूल का डेमो दिखाने वाला वीडियो
[root\screenshots_and_videos] विभिन्न बैकिंग स्क्रीनशॉट
[root\scripts] Parse_report_set.* - Windows PowerShell और DOS Command Window बैच फ़ाइल स्क्रिप्ट जो टूल को बुलाकर टेस्ट सेट में प्रत्येक HA सैंडबॉक्स रिपोर्ट सारांश को पार्स करती हैं Collate_Results.* - Windows PowerShell और DOS Command Window बैच फ़ाइल स्क्रिप्ट जो टूल को बुलाकर पार्सिंग रिपोर्ट सारांश से डेटा संकलित करती हैं और MITRE Navigator लेयर फ़ाइल उत्पन्न करती हैं
[root\slides] BlackHat_Arsenal_2022__Sandbox_Scryer__BH_template.pdf - ब्लैक हैट 2022 में Sandbox Scryer प्रस्तुत करने के लिए उपयोग की गई स्लाइड्स का PDF निर्यात
[root\src] Sandbox_Scryer - Sandbox Scryer टूल (c# में) और Visual Studio 2019 समाधान फ़ाइल के स्रोत वाला फ़ोल्डर
[root\test_data] (SHA256 filenames).json - Hybrid Analysis को सबमिशन से रिपोर्ट सारांश enterprise-attack__062322.json - MITRE CTI डेटा TopAttackTechniques__High__060922.json - MITRE कैलकुलेटर के साथ उत्पन्न शीर्ष MITRE ATT&CK तकनीकें। MITRE Navigator में हीट मैप उत्पन्न करने के लिए तकनीकों को रैंक करने के लिए उपयोग किया जाता है
[root\test_output] (SHA256)_report__summary_Error_Log.txt - नाम में शामिल SHA256 के लिए रिपोर्ट सारांश पार्स करते समय आई त्रुटियां (यदि कोई हों) (SHA256)_report__summary_Hits__Complete_List.png - ग्राफिक जो नाम में शामिल SHA256 के लिए रिपोर्ट सारांश पार्स करते समय नोट की गई तकनीकों को दर्शाता है (SHA256)_report__summary_MITRE_Attck_Hits.csv - संकलन चरण के लिए, नाम में शामिल SHA256 के लिए रिपोर्ट सारांश पार्स करने से चयनित मेटाडेटा के साथ तकनीकें और रणनीतियाँ (SHA256)_report__summary_MITRE_Attck_Hits.txt - .csv फ़ाइल का अधिक मानव-पठनीय रूप। नोट की गई तकनीकों की रैंकिंग डेटा शामिल है
\collated_data collated_080122_MITRE_Attck_Heatmap.json - MITRE Navigator में आयात के लिए लेयर फ़ाइल
Sandbox Scryer को स्क्रिप्टिंग की सुविधा के लिए कमांड-लाइन टूल के रूप में लागू करने का इरादा है
संचालन में दो चरण शामिल हैं:
आह्वान उदाहरण:
पार्सिंग
संकलन
यदि पैरामीटर "-h" निर्दिष्ट किया गया है, तो अंतर्निहित सहायता यहां दिखाए अनुसार प्रदर्शित होती है Sandbox_Scryer.exe -h
Options:
-h कमांड-लाइन विकल्प प्रदर्शित करें
-i इनपुट फ़ाइल पथ
-ita इनपुट फ़ाइल पथ - शीर्ष तकनीकों के लिए MITRE रिपोर्ट
-o आउटपुट फ़ोल्डर पथ
-ft सबमिट करने के लिए फ़ाइल का प्रकार
-name आउटपुट के साथ उपयोग करने का नाम
-sb_name उपयोग करने के लिए सैंडबॉक्स का पहचानकर्ता (डिफ़ॉल्ट: ha)
-api_key सैंडबॉक्स में सबमिशन के साथ उपयोग करने के लिए API कुंजी
-env_id सैंडबॉक्स में सबमिशन के साथ उपयोग करने के लिए पर्यावरण आईडी
-inc_sub ग्राफिकल आउटपुट में उप-तकनीकें शामिल करें (डिफ़ॉल्ट शामिल नहीं करना है)
-mitre_data पार्स करने के लिए mitre cti डेटा का फ़ाइल पथ (att&ck तकनीकों को आबाद करने के लिए)
-cmd कमांड
Options:
parse पिछले सैंडबॉक्स सबमिशन से रिपोर्ट फ़ाइल संसाधित करें
पैरामीटर -i, -ita, -o, -name, -inc_sub, -sig_data का उपयोग करता है
col पिछले सैंडबॉक्स सबमिशन से रिपोर्ट डेटा संकलित करता है
पैरामीटर -i (फ़ोल्डर पथ के रूप में माना जाता है), -ita, -o, -name, -inc_sub, -mitre_data का उपयोग करता है
एक बार Navigator लेयर फ़ाइल तैयार हो जाने पर, इसे देखने के लिए Navigator में लोड किया जा सकता है https://mitre-attack.github.io/attack-navigator/
Navigator के भीतर, सैंडबॉक्स रिपोर्ट सारांश में नोट की गई तकनीकों को हाइलाइट किया जाता है और तकनीक रैंकिंग के संयुक्त स्कोरिंग और सैंडबॉक्स रिपोर्ट सारांश में तकनीक पर हिट की संख्या के आधार पर बढ़ी हुई हीट के साथ दिखाया जाता है। तकनीकों पर होवर करने से चयनित मेटाडेटा दिखाई देगा।