रेड टीम इन्फ्रास्ट्रक्चर ट्रैकर और C2 रीडायरेक्टर -- RedWarden का एक आधुनिक विकल्प।
InfraGuard इंटरनेट और आपके C2 टीमसर्वर के बीच बैठता है, हर इनबाउंड रिक्वेस्ट को आपके malleable C2 प्रोफ़ाइल के विरुद्ध सत्यापित करता है और जो भी अनुरूप नहीं है उसे ब्लॉक करता है। स्कैनर, बॉट और ब्लू टीम प्रोब्स को एक डिकॉय साइट पर रीडायरेक्ट किया जाता है जबकि वैध बीकन ट्रैफ़िक आपके टीमसर्वर तक पास हो जाता है।
आर्किटेक्चर
विशेषताएँ
प्रॉक्सीइंग और लिसनर
- मल्टी-डोमेन प्रॉक्सीइंग -- एक साथ कई डोमेन प्रॉक्सी करें, प्रत्येक में स्वतंत्र C2 प्रोफ़ाइल, अपस्ट्रीम और नियम हों
- मल्टी-प्रोटोकॉल लिसनर -- HTTP/HTTPS, HTTP/3 (QUIC), WebSocket, gRPC, DNS, MQTT, और TCP-टनल लिसनर एक साथ चलते हैं, साझा IP इंटेलिजेंस और इवेंट ट्रैकिंग के साथ
- सर्किट ब्रेकर -- प्रति-अपस्ट्रीम विफलता सुरक्षा closed/open/half-open स्थितियों के साथ; बैकएंड अगम्य होने पर डोमेन की ड्रॉप क्रिया पर गिर जाता है
- प्रोटोकॉल फेलओवर -- लिसनर प्रोटोकॉल के बीच प्राथमिकता के अनुसार स्वचालित फेलओवर और फेलबैक
C2 प्रोफ़ाइल समर्थन
- C2 प्रोफ़ाइल सत्यापन -- Cobalt Strike, Mythic, Brute Ratel C4, Sliver, Havoc, Nighthawk, और PoshC2 प्रोफ़ाइल को रीडायरेक्टर नियमों के रूप में पार्स और लागू करें
- हॉट-स्वैपेबल प्रोफ़ाइल -- प्रॉक्सी को पुनः आरंभ किए बिना डैशबोर्ड से रनटाइम पर डोमेन की सक्रिय C2 प्रोफ़ाइल बदलें
- प्रोफ़ाइल जनरेशन विज़ार्ड -- एक गाइडेड फ़ॉर्म के माध्यम से सभी 8 समर्थित प्रकारों के लिए नए C2 प्रोफ़ाइल शुरू से जनरेट करें, या स्वचालित प्रकार पहचान और सत्यापन के साथ मौजूदा प्रोफ़ाइल आयात और अपलोड करें
- AI-सहायता प्राप्त प्रोफ़ाइल जनरेशन -- वैकल्पिक Ollama एकीकरण डैशबोर्ड में प्रोफ़ाइल निर्माण सहायता और OPSEC सलाह के लिए एक चैट पैनल प्रदान करता है
फ़िल्टर पाइपलाइन
- स्कोरिंग-आधारित फ़िल्टर पाइपलाइन -- 10 फ़िल्टर प्रत्येक 0.0--1.0 स्कोर योगदान करते हैं; कॉन्फ़िगर करने योग्य थ्रेशोल्ड ब्लॉक/अनुमति निर्धारित करता है। फ़िल्टर: JA3, IP, बॉट, हेडर, DNS, जियो, प्रोफ़ाइल, रीप्ले, एन्यूमरेशन, सैंडबॉक्स।
- JA3 TLS फ़िंगरप्रिंट फ़िल्टरिंग -- कोई भी HTTP डेटा आदान-प्रदान होने से पहले TLS हैंडशेक परत पर Masscan, ZGrab2, Shodan, curl, Python requests, और Nmap को ब्लॉक करें; रिवर्स-प्रॉक्सी हेडर या कस्टम asyncio प्रोटोकॉल के माध्यम से काम करता है; वैकल्पिक allowlist मोड बीकन JA3 लागू करता है
- सैंडबॉक्स और हेडलेस ब्राउज़र डिटेक्शन -- HTTP संकेतों में स्कोर-संचय: HeadlessChrome UA, अनुपस्थित Accept-Language, sec-ch-ua के बिना Chrome, Safe Links और msnbot स्कैनर UA, गैर-ब्राउज़र Accept क्रम
- पाथ एन्यूमरेशन डिटेक्शन -- स्लाइडिंग विंडो में प्रति-IP अद्वितीय URI ट्रैकिंग; dirbuster/ffuf/gobuster को URI स्पेस मैप करने से पहले ब्लॉक करता है
- DNS सबडोमेन एन्यूमरेशन डिटेक्शन -- प्रति क्लाइंट IP NXDOMAIN प्रतिक्रियाओं को ट्रैक करता है; थ्रेशोल्ड उल्लंघन पर स्रोत IP को स्वतः ब्लॉक करता है
- एंटी-बॉट / एंटी-क्रॉलिंग -- 40+ ज्ञात स्कैनर/बॉट User-Agent पैटर्न, हेडर विसंगति डिटेक्शन
- रीप्ले सुरक्षा -- सामग्री हैश द्वारा डुप्लिकेट अनुरोध अस्वीकार करें; हैश SQLite में बने रहते हैं ताकि सुरक्षा पुनः आरंभ के बाद भी बनी रहे
- ड्रॉप क्रियाएँ -- रीडायरेक्ट, TCP रीसेट, डिकॉय साइट पर प्रॉक्सी, या टारपिट (स्कैनर का समय बर्बाद करने के लिए धीमी-ड्रिप प्रतिक्रिया)
इंटेलिजेंस
- IP इंटेलिजेंस -- 19 सुरक्षा विक्रेता रेंजों (Shodan, Censys, Rapid7, आदि) के लिए अंतर्निहित CIDR ब्लॉकलिस्ट, GeoIP फ़िल्टरिंग, रिवर्स DNS कीवर्ड मिलान
- थ्रेट इंटेल फ़ीड -- सार्वजनिक स्रोतों (abuse.ch, Emerging Threats, Spamhaus DROP, Binary Defense) से ब्लॉकलिस्ट स्वतः अपडेट करें, कॉन्फ़िगर करने योग्य रीफ़्रेश अंतराल और डिस्क कैशिंग के साथ
- डायनामिक IP ब्लॉकिंग -- व्हाइटलिस्टेड रेंजों के बाहर IP ब्लॉक करें; N वैध C2 अनुरोधों के बाद IP को स्वतः व्हाइटलिस्ट करें
- व्हाइटलिस्ट एनरिचमेंट -- व्हाइटलिस्टेड CIDR को स्टार्टअप पर GeoIP डेटाबेस के माध्यम से ASN, संगठन, देश, और महाद्वीप डेटा के साथ स्वतः समृद्ध किया जाता है
- बर्न डिटेक्शन -- crt.sh के माध्यम से Certificate Transparency लॉग मॉनिटरिंग, URLhaus/OpenPhish/Google Safe Browsing के माध्यम से डोमेन प्रतिष्ठा स्व-निगरानी, और क्रॉस-डोमेन विश्लेषक डिटेक्शन जब एक ही IP कई ऑपरेटर डोमेन तक पहुँचता है
- बर्न कॉन्फ़िडेंस स्कोरिंग -- 6 भारित संकेतों से निरंतर 0--100 स्कोर: JA3 विविधता, वॉल्यूम स्पाइक, नए ASN, CT लॉग एक्सपोज़र, प्रतिष्ठा हिट, और विफल प्रमाणीकरण प्रयास। अनुशंसित क्रियाएँ शामिल: मॉनिटर, रोटेट, या तत्काल बर्न।
- कैनरी टोकन इंजेक्शन -- ब्लू टीम जाँच का पता लगाने के लिए ट्रैकिंग पिक्सेल, हनीपॉट लिंक, और हनीपॉट फ़ॉर्म स्वतः डिकॉय पृष्ठों में इंजेक्ट किए जाते हैं
- पैसिव DNS मॉनिटरिंग -- आपके डोमेन के बाहरी रिज़ॉल्यूशन के लिए CIRCL PDNS को पोल करता है; नए रिकॉर्ड, NXDOMAIN स्पाइक, और पहली बार देखे गए एक्सपोज़र का पता लगाता है
पेलोड डिलीवरी
- कंटेंट डिलीवरी रूट -- PwnDrop, Mythic फ़ाइल स्टोर, स्थानीय फ़ाइलसिस्टम, या HTTP प्रॉक्सी बैकएंड के माध्यम से विशिष्ट पाथ पर पेलोड, डिकॉय, और स्थिर फ़ाइलें सर्व करें; लक्ष्यों को वास्तविक सामग्री और स्कैनर को डिकॉय सर्व करने के लिए वैकल्पिक सशर्त डिलीवरी
- Mythic फ़ाइल स्टेजिंग --
mythic_file बैकएंड स्वच्छ URL पर Mythic के /direct/download/{uuid} को प्रॉक्सी करता है; निश्चित UUID या प्रॉक्सी मोड; एक्सेस नियंत्रण InfraGuard के फ़िल्टर स्टैक द्वारा प्रदान किया जाता है
- वन-टाइम पेलोड टोकन -- बीकन के डायनामिक रूप से व्हाइटलिस्ट होने पर टोकन स्वतः जारी किए जाते हैं; एटॉमिक सिंगल-यूज़ SQLite प्रवर्तन विश्लेषकों या सैंडबॉक्स द्वारा URL रीप्ले को रोकता है; कॉन्फ़िगर करने योग्य TTL और अधिकतम-उपयोग गणना
- प्रति-रूट रेट लिमिटिंग -- कंटेंट रूट पर स्लाइडिंग-विंडो प्रति-IP डाउनलोड रेट लिमिटर; सीमा से अधिक होने पर कॉन्फ़िगर किया गया स्कैनर डिकॉय या 429 सर्व किया जाता है
- डिलीवरी गार्ड -- कंटेंट रूट के लिए एनवायरनमेंट कीइंग: बीकन IP, UA allowlist, आवश्यक हेडर मान, निषिद्ध हेडर की आवश्यकता; विफल जाँच डोमेन ड्रॉप क्रिया सर्व करती हैं, कच्चा 403 नहीं
- फ़िशिंग कैंपेन टोकन -- ईमेल लिंक में एम्बेडेड प्रति-कैंपेन टोकन के पीछे फ़िशिंग पृष्ठों को गेट करें; स्थिर टोकन सूची या कॉन्फ़िगर करने योग्य TTL के साथ HMAC-हस्ताक्षरित स्व-सत्यापन टोकन
लचीलापन
- इन्फ्रास्ट्रक्चर रोटेशन -- प्री-फ़्लाइट जाँच, रोलबैक, और age-एन्क्रिप्टेड स्टेट के साथ 5 क्लाउड प्रदाताओं में वन-क्लिक ब्लू-ग्रीन Terraform रोटेशन
- रोटेशन शेड्यूलिंग -- स्वचालित रोटेशन नीतियाँ: निश्चित अंतराल, बर्न-ट्रिगर, अनुरोध-गणना थ्रेशोल्ड, और स्टैगर्ड रोलिंग
- ऑटो-रोटेशन वॉचडॉग -- एक अंतराल पर बर्न स्कोर और सर्ट एक्सपायरी को पोल करता है; बर्न थ्रेशोल्ड ट्रिप होने या सर्ट में N दिन से कम बचे होने पर स्वतः रोटेट करता है, या कॉस्ट कैप के साथ अलर्ट-ओनली मोड पर वापस आ जाता है
- सर्किट ब्रेकर -- HEALTHY / PROBING / TRIPPED स्थितियों और कॉन्फ़िगर करने योग्य रिकवरी टाइमआउट के साथ प्रति-अपस्ट्रीम विफलता ट्रैकिंग, डैशबोर्ड के Upstreams विजेट में लाइव प्रदर्शित
- डोमेन फ्रंटिंग -- CDN हेडर स्ट्रिपिंग और SSRF सुरक्षा के साथ SNI/Host हेडर स्प्लिट के माध्यम से CDN-आधारित C2 रूटिंग
- डेड मैन्स स्विच -- ऑपरेटर हार्टबीट TTL जो ऑपरेटर के चेक-इन करने में विफल होने पर C2 फ़ॉरवर्डिंग स्वतः बंद कर देता है
- पर्पल-टीम मिरर -- एंगेजमेंट स्कोरिंग के लिए ब्लू-टीम कलेक्टर को अनुमत इवेंट की फायर-एंड-फ़ॉरगेट डुप्लिकेट
- साझा स्टेट बैकएंड (Redis) -- वैकल्पिक क्रॉस-नोड रीप्ले कैश, डायनामिक व्हाइटलिस्ट, बीकन सेशन बैग, और ड्रॉप रेट-लिमिट ताकि क्षैतिज रूप से स्केल किए गए रेप्लिका समान स्टेट देखें
- एज प्रॉक्सी -- CDN इन्फ्रास्ट्रक्चर के माध्यम से डोमेन फ्रंटिंग, एज देश ब्लॉकिंग, और होस्ट रीराइटिंग के लिए Cloudflare Worker और AWS Lambda
डैशबोर्ड और ऑपरेटर टूल
