RedEye: Visualizzazione dei log C2 per Red Team

---

⚠️ Questo repository è attualmente in modalità manutenzione ⚠️

Questo repository GitHub non è più in fase di sviluppo attivo. Esamineremo gli issue della community e le pull request per correggere bug, ma non prenderemo in considerazione nuove funzionalità.

---

RedEye è uno strumento analitico open-source sviluppato da CISA e dal Pacific Northwest National Laboratory del DOE per assistere i Red Team nella visualizzazione e nel reporting delle attività di comando e controllo. Questo strumento consente a un operatore di valutare e visualizzare dati complessi, valutare strategie di mitigazione e facilitare un processo decisionale efficace in risposta a una valutazione del Red Team. Lo strumento analizza i log, come quelli di Cobalt Strike, e presenta i dati in un formato facilmente comprensibile. Gli utenti possono quindi etichettare e aggiungere commenti alle attività visualizzate all'interno dello strumento. Gli operatori possono utilizzare la modalità presentazione di RedEye per esporre i risultati e il flusso di lavoro agli stakeholder.

RedEye può aiutare un operatore a:

• Riprodurre e dimostrare le attività di valutazione del Red Team così come si sono verificate, invece di dover esaminare manualmente migliaia di righe di testo di log.
• Visualizzare e valutare dati di valutazione complessi per un processo decisionale efficace.
• Ottenere una comprensione più chiara del percorso di attacco intrapreso e degli host compromessi durante una valutazione del Red Team o un penetration test.

Red Team	Blue Team

Avvio rapido

1. Scarica gli ultimi binari di RedEye per il tuo sistema operativo* dalla pagina Releases.
2. Scegli una modalità e Avvia il server
   • Modalità Red Team abilita l'intero set di funzionalità: caricamento di log C2, esplorazione dei dati e creazione di presentazioni. Devi fornire una password per eseguire in modalità Red Team. Per avviare il server in modalità Red Team, esegui il comando seguente in un terminale.

     ./RedEye --redTeam --password <tua_password>
     

   • Modalità Blue Team (predefinita) abilita un'interfaccia semplificata e di sola lettura per la revisione delle campagne esportate da un Red Team. Per avviare il server in modalità Blue Team, esegui il comando seguente in un terminale.

     ./RedEye   # Oppure fai doppio clic sull'eseguibile "RedEye"
     

3. Usa l'app web in un browser all'indirizzo http://127.0.0.1:4000. Il binario di RedEye viene eseguito come server in una finestra di terminale e aprirà automaticamente l'interfaccia utente dell'app web nel browser predefinito. Devi chiudere la finestra del terminale per terminare il server RedEye.
4. Prova a importare il dataset di esempio gt.redeye per iniziare. Oppure prova un dataset di esempio diverso.

Problema su macOS - Quando esegui RedEye per la prima volta, potresti ricevere un errore "non verificato". Devi andare su "Preferenze di Sistema" > "Sicurezza e Privacy" > "Generale" e fare clic su "Apri comunque". Maggiori informazioni sulla pagina di supporto Apple.

Segui la Guida per l'utente per conoscere le funzionalità di RedEye.

---

Modalità Red Team e Blue Team

RedEye dispone di due modalità che coprono due fasi del processo di Red Teaming. La modalità Red Team consente di importare dati C2, modificare i dati importati e creare commenti e presentazioni. Dopo aver curato e annotato i dati della campagna, i Red Team possono esportare la propria campagna in un file .redeye autonomo e consegnarlo a un Blue Team per il reporting e la remediation. La modalità Blue Team esegue RedEye in una modalità semplificata di sola lettura per visualizzare i dati curati esportati da un Red Team.

Nota: Entrambe le modalità Red e Blue Team possono essere avviate dallo stesso binario dell'applicazione RedEye.

Modalità Red Team

Il binario scaricato è composto da due parti:

• Il binario dell'applicazione RedEye
• La cartella parsers contenente i binari dei parser (ad es. il parser dei log di Cobalt Strike cobalt-strike-parser)

Ci sono tre opzioni per eseguire RedEye in modalità Red Team:

1. Esegui il binario scaricato passando le opzioni --redTeam e la password:

   ./RedEye --redTeam --password <tua_password>
   

2. Clona, installa ed esegui il progetto direttamente (trattato nella sezione Build locale).
3. Docker Compose
   1. Clona il repository
   2. Aggiorna le variabili d'ambiente in docker-compose.yml.
   3. Esegui:

      docker-compose -f docker-compose.yml up -d redeye-core
      

Modalità Blue Team

La modalità Blue Team è un'interfaccia semplificata e di sola lettura per visualizzare i dati che sono stati curati, annotati ed esportati da un Red Team. Questa modalità viene eseguita per impostazione predefinita per semplificare l'avvio per il Blue Team.

La versione Blue Team può essere eseguita facendo doppio clic sul binario dell'applicazione 'RedEye'. RedEye viene eseguito all'indirizzo http://127.0.0.1:4000 (per impostazione predefinita) e aprirà automaticamente il browser predefinito.

Consegna presentazione Blue Team

Se una cartella campaigns si trova nella stessa directory del binario RedEye, RedEye tenterà di importare eventuali file di campagna .redeye al suo interno. I file di campagna possono essere esportati in modalità Red Team.

Per preparare una versione per il Blue Team, segui questi due passaggi:

1. Copia il binario dell'applicazione RedEye in una cartella vuota.
2. Crea una cartella campaigns nella stessa directory e inserisci i file di campagna .redeye che desideri inviare.

Cartella/
	RedEye
	campaigns/
		Campagna-01.redeye
		Campagna-02.redeye

I file .redeye possono anche essere caricati in modalità Blue Team tramite la finestra di dialogo "+ Add Campaign".