RE:TERNAL

---

---

Nota: Ancora in fase di sviluppo, utilizzare solo per test e non esporre le interfacce! La compose attuale non funziona ancora, provare solo se si sa cosa si sta facendo

RE:TERNAL è un servizio di orchestrazione centralizzato per purple team per gestire framework C2 di terze parti. Gli agenti vengono installati sui terminali per eseguire varie tecniche note di red teaming al fine di testare le capacità di blue teaming. Le simulazioni sono mappate sul framework MITRE ATT&CK. Questo repository contiene il file compose per configurare la piattaforma reternal tramite docker.

È disponibile un'anteprima pubblica che esegue l'ultima versione su https://reternal.d3vzer0.com (richiede login Github). L'esecuzione/salvataggio delle campagne e l'interazione con i moduli C2 sono disabilitati (per ovvi motivi ;)).

Componenti di Reternal

Installazione e Configurazione

Questo repository contiene playbook di deployment Ansible per automatizzare l'installazione e la configurazione locale o remota di Reternal. La guida si trova nella Wiki del repository a https://github.com/d3vzer0/reternal-quickstart/wiki.

Sviluppatori e Contatti

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

Perché questo nome?

Questo progetto è stato risviluppato così tante volte che probabilmente non finirà mai davvero. Da qui RE (Rifare) e Ternal (Eterno).

Ringraziamenti Speciali

• Rabobank DeTTECT - Framework per mappare la copertura dei log rispetto a MITRE ATT&CK. Utilizzato come base per la valutazione della copertura interna e i suggerimenti di scenario: https://github.com/rabobank-cdc/DeTTECT
• MITRE ATT&CK - Framework utilizzato per mappare le simulazioni: https://attack.mitre.org/wiki/Main_Page
• Uber Metta - Utilizzo dei template di Metta per le tecniche MITRE con piccole modifiche (opzionali) al formato purple_action: https://github.com/uber-common/metta
• https://github.com/olafhartong/sysmon-modular - App Splunk con query pronte all'uso per cacciare eventi malevoli basati su Sysmon
• https://www.splunksecurityessentials.com/ - App Splunk indispensabile per estendere le tue capacità di rilevamento attuali. L'app analizza i sourcetype disponibili e fornisce suggerimenti e trucchi adatti per migliorare l'uso complessivo di Splunk per la caccia e il rilevamento.

Esempi e screenshot

Tutte le funzionalità saranno documentate nella pagina di benvenuto della Wiki a https://github.com/d3vzer0/reternal-quickstart/wiki. Di seguito alcuni esempi dei componenti principali.

Mappatura Attori / Tecniche

Reternal mappa automaticamente i comandi e le tecniche disponibili agli attori. Puoi aggiungere direttamente tutte le tecniche comunemente utilizzate dagli attori al tuo set di attività.

Costruttore di Ricette / Grafi

La pianificazione delle attività da eseguire su un agente è chiamata grafo. Puoi aggiungere comandi manuali a un grafo o selezionare una delle tecniche mappate esistenti o le TTP degli attori. Puoi trascinare per cambiare l'ordine delle attività nel tuo grafo.

Interazione C2

Reternal funge da middleware e interagisce con framework C2 esterni. Di seguito è mostrato un esempio di come Reternal gestisce i listener esterni e genera stager.

Valutazione della copertura (basata su Rabo DeTTECT)

Sincronizza automaticamente le origini dati disponibili con il tuo ambiente Splunk o aggiungi manualmente le fonti di log. Reternal suggerirà campagne specifiche da eseguire in base alla tua valutazione della copertura.

Con una panoramica della tua copertura rispetto a tutte le tecniche ATT&CK:

Cacce Integrate

Inoltre è inclusa una lista di query Splunk per validare automaticamente le simulazioni. Presto (tm) la campagna pianificata eseguirà automaticamente le query pertinenti e presenterà un report dettagliato contenente i risultati (es. tempo dell'attacco vs tempo di rilevamento ecc.)

Stato della campagna e dashboard

La dashboard principale mostra lo stato delle campagne in esecuzione e la copertura prevista delle tue origini dati rispetto alle tecniche