DumpsterFire Toolset

DumpsterFire Toolset - "Security Incidents In A Box!"

(अद्यतन 05/27/2020: हाँ, मैं 2020 की गर्मियों में अपने सभी Github प्रोजेक्ट्स को Python3 में माइग्रेट करूँगा।)

DumpsterFire Toolset एक मॉड्यूलर, मेनू-संचालित, क्रॉस-प्लेटफॉर्म टूल है जो दोहराने योग्य, समय-विलंबित, वितरित सुरक्षा घटनाओं के निर्माण के लिए है। आसानी से ब्लू टीम ड्रिल और सेंसर / अलर्ट मैपिंग के लिए कस्टम इवेंट चेन बनाएँ। रेड टीमें अपने संचालन को समर्थन और स्केल करने के लिए डिकॉय घटनाएँ, व्यवधान और लालच बना सकती हैं। पेपर टेबलटॉप अभ्यासों को नियंत्रित "लाइव फायर" रेंज इवेंट्स में बदलें। यथार्थवादी परिदृश्यों का अनुकरण करने और संबंधित नेटवर्क और फाइलसिस्टम आर्टिफैक्ट उत्पन्न करने के लिए इवेंट अनुक्रम ("नैरेटिव") बनाएँ।

टूलसेट गतिशील रूप से विस्तार योग्य है, जिससे आप अपने स्वयं के फायर (इवेंट मॉड्यूल) बना सकते हैं और उन्हें टूलसेट फायर के संग्रह में शामिल कर सकते हैं। बस अपना स्वयं का फायर मॉड्यूल लिखें और इसे FireModules निर्देशिका में डालें। DumpsterFire टूलसेट स्टार्टअप पर आपके कस्टम फायर को स्वचालित रूप से पहचान लेगा और उन्हें उपयोग के लिए उपलब्ध कराएगा।

लेखक

Joe Gervais (TryCatchHCF)

क्यों

रेड टीमें और ब्लू टीमें आमतौर पर अत्यधिक तनाव में रहती हैं। जो चीज़ गायब है वह है प्रत्येक टीम की क्षमताओं को स्केल करने का एक तरीका, जिससे अधिक प्रभावी रेड टीम गतिविधि और अधिक यथार्थवादी (और सहायक) ब्लू टीम / पर्पल टीम अभ्यास मिल सके। स्वचालन बचाव के लिए आया! DumpsterFire Toolset एक क्रॉस-प्लेटफॉर्म मेनू-संचालित समाधान है जो आपको मॉड्यूलर, श्रृंखलाबद्ध घटनाओं को एक सुसंगत कथा में जोड़कर आसानी से कस्टम सुरक्षा घटनाएँ बनाने की अनुमति देता है। घटनाओं के उन संग्रहों (DumpsterFires) को फिर समय-विलंबित, स्वचालित प्रक्रियाओं के रूप में निष्पादित किया जा सकता है। (बेशक, उन्हें तुरंत भी ट्रिगर किया जा सकता है।)

परिणाम? जब आप मीटिंग में हों या जीवन का आनंद ले रहे हों, तो आपका DumpsterFire अपनी तारीख-समय ट्रिगर के सक्रिय होने की प्रतीक्षा कर रहा होता है। रेड टीम की भागीदारी में, जब आप किसी भूली हुई B2B सर्वर पर उजागर सेवा का शोषण करने में व्यस्त हों, तो आपके क्लोन किए गए और समय-सिंक्रोनाइज़्ड DumpsterFires दूरस्थ सबनेट पर लक्ष्य संगठन के SIEM को रोशन करने में व्यस्त होते हैं, उनकी प्रतिक्रिया टीम को विचलित करते हुए। ब्लू टीम के सदस्य टेबल-टॉप पेपर अभ्यासों को "लाइव फायर" रेंज इवेंट में बदल सकते हैं, जिसमें नियंत्रित, पूर्व-अनुमोदित DumpsterFire इवेंट चेन सेंसर और अलर्ट को ट्रिगर करते हैं, और अपने विश्लेषकों को उनके वास्तविक परिचालन वातावरण का उपयोग करके प्रशिक्षित कर सकते हैं। पर्पल टीम संचालन अब व्यवस्थित, दोहराने योग्य इवेंट चेन निष्पादित कर सकते हैं ताकि उनके सेंसर और अलर्टिंग स्थिति का लगातार मानचित्रण किया जा सके। आप अपनी टीमों का परीक्षण और प्रशिक्षण करने, खतरे के क्षेत्र से आगे निकलने और सुरक्षा आकस्मिकताओं के लिए तैयार रहने के लिए नए परिदृश्य उत्पन्न कर सकते हैं।

कभी सोचा है कि आपकी ब्लू टीम आपके आंतरिक नेटवर्क पर Mirai बॉट गतिविधि पर कैसे प्रतिक्रिया देगी? अब आप पता लगा सकते हैं! (चिंता न करें, Mirai बॉट फायर मॉड्यूल पिवट नहीं करता है, लेकिन यह लक्ष्य नेटवर्क पर टेलनेट सत्रों को ब्रूट-फोर्स करने के लिए समान उपयोगकर्ता नाम और पासवर्ड का उपयोग करता है।)

क्या आपके पास रेड टीम नहीं है लेकिन आप चाहते हैं कि आपके सभी SOC शिफ्ट टीमों के खिलाफ नियंत्रित, दोहराने योग्य, अनुकूलित ड्रिल चलाने का एक आसान तरीका हो? हो गया!

क्या आप चाहते हैं कि आप 7 समय क्षेत्र दूर एक रिमोट टीम के खिलाफ रेड टीम भागीदारी का समर्थन कर सकें, बिना सुबह 3:00 बजे उठे? वह स्नूज़ बटन दबाएँ!

कभी अपने वार्षिक साइबर युद्ध अभ्यास के दौरान एक साथ अपने सभी विरोधियों के सिस्टम को रिक्रोल करना चाहा है? "Never gonna let you down!"

नीचे नमूना DumpsterFires देखें। और निश्चित रूप से Shenanigans अनुभाग।

ट्यूटोरियल

मेरी CactusCon 2017 स्लाइड्स (प्रोजेक्ट में शामिल) देखें। स्लाइड्स अपने आप में पूर्ण हैं, पृष्ठभूमि, दृष्टिकोण, विशिष्ट उपयोग मामले, और बहुत कुछ प्रदान करती हैं। वे सब कुछ संदर्भ में रखेंगी, और आपको सुलाने भी नहीं देंगी। जब तक कि वे आपको सुला न दें, उस स्थिति में आपको शायद वैसे भी आराम की आवश्यकता थी, तो वास्तव में हम सभी यहाँ से आगे आते हैं।

जवाबदेही

DumpsterFire एक तारीख-समय-मोहरबंद इवेंट लॉग बनाता है ताकि रेड- और ब्लू टीमें घटनाओं का समन्वय और ट्रैक कर सकें, उन्हें आपके सेंसर द्वारा पता लगाए गए (या नहीं लगाए गए) और किन अलर्ट ट्रिगर हुए या नहीं, आदि से संबंधित कर सकें। यह टीमों को यह पुष्टि करने की भी अनुमति देता है कि कौन सी घटनाएँ आपके ऑपरेशन / अभ्यास का हिस्सा थीं, सभी को परेशानी से बचाते हुए। सभी तारीख-समय ट्रैकिंग UTC में की जाती है, ताकि आपके वैश्विक संचालन को समय क्षेत्रों और अंतर्राष्ट्रीय तिथि रेखाओं के बीच रूपांतरण की चिंता किए बिना आसानी से सहसंबंधित किया जा सके।

स्वचालित रूप से उत्पन्न तारीख-समय मोहरबंद इवेंट लॉग आपकी भागीदारियों में एक आसान मूल्य वृद्धि भी प्रदान करते हैं। अपने ग्राहक भागीदारियों के लिए DumpsterFires का एक संग्रह बनाएँ, जो उनके हमले की सतहों के अनुरूप हो। अपने संचालन के अंत में, आप पोस्ट-एंगेजमेंट विश्लेषण के लिए अपने ग्राहक को बोनस पर्पल टीम डिलीवरेबल के रूप में लॉग सौंप सकते हैं।

अवलोकन

DumpsterFire टूलसेट वर्कफ़्लो को उपयोगकर्ता-अनुकूल और मजबूत बनाने के लिए डिज़ाइन किया गया है। सब कुछ मेनू-संचालित dumpsterFireFactory.py स्क्रिप्ट के भीतर से किया जा सकता है। स्क्रिप्ट लॉन्च करें और टूल आपको चलते-चलते गाइड करेगा। आप मौजूदा फायर मॉड्यूल और सहेजे गए DumpsterFires को ब्राउज़ करके शुरू कर सकते हैं। जब आप अपने स्वयं के DumpsterFires बनाने के लिए तैयार हों, तो टूल आपको काम पूरा करने के लिए वर्कफ़्लो के माध्यम से ले जाएगा। अंत में आपके DumpsterFire को प्रज्वलित करने का समय होगा। अपनी पसंद का DumpsterFire चुनने के बाद, आप DumpsterFire के फायर मॉड्यूल और सेटिंग्स की समीक्षा करेंगे। यदि सब कुछ ठीक लगता है, तो इसे प्रज्वलित करें!

जब आप DumpsterFire बना रहे हों, तो आपके द्वारा शामिल किए जाने वाले सभी फायर मॉड्यूल चुनने के बाद, टूल फायर की सूची के माध्यम से लूप करेगा। यदि किसी फायर में कस्टम सेटिंग्स के लिए विकल्प हैं, तो टूल उस फायर की Configure() विधि को कॉल करेगा ताकि आपको इसकी सेटिंग्स (जैसे लक्ष्य नेटवर्क का IP पता) के लिए संकेत प्रस्तुत कर सके।

एक बार सभी फायर कॉन्फ़िगर हो जाने के बाद, आपको अपने फायर को व्यक्तिगत समय विलंब निर्दिष्ट करने का विकल्प दिया जाएगा। यह DumpsterFire को अपनी घटनाओं की श्रृंखला निष्पादित करते समय वास्तविक संचालन की बेहतर नकल करने की अनुमति देता है। उदाहरण के लिए, पहला फायर विभिन्न हैकिंग वेबसाइटों पर जा सकता है, अगला फायर फिर कुछ सामान्य हैकिंग टूल डाउनलोड करता है, इससे पहले कि तीसरा फायर स्थानीय नेटवर्क को स्कैन करना शुरू करे। यदि यह सब एक दूसरे के सेकंड के भीतर होता है, तो कोई SOC विश्लेषक यह नहीं मानेगा कि यह एक मानव था। उन घटनाओं के बीच कई मिनट या घंटे जोड़कर, आप घटनाओं की अधिक यथार्थवादी श्रृंखला बनाते हैं।

सभी फायर कॉन्फ़िगर होने और वैकल्पिक व्यक्तिगत फायर विलंब निर्दिष्ट होने के बाद, आपको अपने DumpsterFire को नाम देने के लिए कहा जाएगा। रिक्त स्थान या अजीब विशेष वर्णों का उपयोग न करें, केवल अक्षर, संख्या, अंडरस्कोर और हाइफ़न से चिपके रहें।

वोइला! अब आपने अपना पहला DumpsterFire बना लिया है। एक को प्रज्वलित करने का समय!

जब आप DumpsterFire को प्रज्वलित करने के लिए तैयार हों, तो टूल पहले आपको DumpsterFire की सेटिंग्स दिखाएगा। यदि सब कुछ ठीक लगता है, तो आपसे पूछा जाएगा कि क्या आप प्रज्वलित करने से पहले एक तारीख-समय विलंब निर्दिष्ट करना चाहते हैं। सभी तारीख-समय प्रसंस्करण UTC में किया जाता है ताकि आपके DumpsterFire के निष्पादन स्थान की परवाह किए बिना सुसंगत निष्पादन सुनिश्चित हो सके। अन्यथा आप तारीख-समय विलंब को अस्वीकार कर सकते हैं और अंतिम पुष्टि देने के तुरंत बाद निष्पादन शुरू हो जाएगा।

जैसे-जैसे DumpsterFire निष्पादित होता है, आपको प्रत्येक फायर की स्थिति और महत्वपूर्ण घटनाओं पर नियमित तारीख-समय मोहरबंद प्रतिक्रिया दी जाएगी। यह न केवल आपको प्रगति को ट्रैक करने में मदद करता है, बल्कि आपके DumpsterFire की गतिविधियों का एक कालानुक्रमिक रिकॉर्ड भी प्रदान करता है - जो आपकी घटनाओं को उस सामान्य पृष्ठभूमि शोर से समन्वयित और अलग करने में महत्वपूर्ण है जो हर SOC में भरा रहता है। आप अपने संचालन पूरा होने के बाद कालानुक्रमिक रिकॉर्ड अपने बाहरी ग्राहकों को भी सौंप सकते हैं, आपकी गतिविधियों के एक मूल्य वर्धित रिकॉर्ड के रूप में जिसका उपयोग वे अपने सेंसर और अलर्ट सेटिंग्स की समीक्षा करने के लिए कर सकते हैं। यह सब आपकी ओर से बिना किसी अतिरिक्त प्रयास के।

शेनानिगन्स