Caratteristiche

• installazione immediata con docker-compose
• nessun file di configurazione, le impostazioni possono essere modificate tramite GUI o API
• i pcap da analizzare possono essere caricati tramite curl, localmente o da remoto, o tramite la GUI
  • è anche possibile scaricare i pcap dalla GUI e vedere tutte le statistiche di analisi per ogni pcap
• le regole possono essere create per identificare connessioni che contengono determinate stringhe
  • il pattern matching viene effettuato tramite espressioni regolari (regex)
  • sono supportate anche regex in formato UTF-8 e Unicode
• le connessioni possono essere etichettate per tipo di servizio, identificato dal numero di porta
  • a ogni servizio può essere assegnato un colore diverso
• possibilità di filtrare le connessioni per indirizzi, porte, dimensioni, tempo, durata, regole corrisposte
• una timeline mostra statistiche con diverse metriche campionate al minuto
  • alcune di queste metriche sono connections_per_service, client_bytes_per_service, server_bytes_per_service, duration_per_service, matched_rules
    • con la metrica matched_rules è possibile osservare la relazione tra flag_in e flag_out
  • la timeline contiene una finestra scorrevole che può essere utilizzata per cercare connessioni in un determinato intervallo di tempo
• ricerca avanzata per termine, termine negato, frase esatta, regex, regex negata
  • le ricerche effettuate vengono salvate per essere ripetute istantaneamente nelle volte successive
• le connessioni HTTP rilevate vengono automaticamente ricostruite
  • le richieste HTTP possono essere replicate tramite curl, fetch e python requests
  • le risposte HTTP compresse (gzip/deflate) vengono decompresse automaticamente
• possibilità di esportare e visualizzare il contenuto delle connessioni in vari formati, inclusi hex e base64
• il contenuto JSON viene visualizzato in un visualizzatore ad albero JSON, il codice HTML può essere renderizzato in una finestra separata
• le occorrenze delle regole corrisposte vengono evidenziate nella vista del contenuto della connessione
• supporta indirizzi sia IPv4 che IPv6
  • se più indirizzi sono assegnati alla macchina vulnerabile da difendere, può essere utilizzato un indirizzo CIDR

Installazione

Ci sono due modi per installare Caronte:

• con Docker e docker-compose, il modo più rapido e semplice
• installando manualmente le dipendenze e compilando il progetto

Esecuzione con Docker

Le uniche cose da fare sono:

• clonare il repository, con git clone https://github.com/eciavatta/caronte.git
• all'interno della cartella caronte, eseguire docker-compose up -d
• attendere la compilazione dell'immagine e aprire il browser all'indirizzo http://localhost:3333

Installazione manuale

La prima cosa da fare è installare le dipendenze:

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

Successivamente è necessario compilare il progetto, composto da due parti:

• il backend, che può essere compilato con go mod download && go build
• il frontend, che può essere compilato con cd frontend && yarn install && yarn build

Prima di avviare Caronte, avviare un'istanza di MongoDB https://docs.mongodb.com/manual/administration/install-community/ senza autenticazione. Fare attenzione a non esporre la porta di MongoDB sull'interfaccia pubblica.

Eseguire il binario con ./caronte. Le opzioni di configurazione disponibili sono:

Configurazione

La configurazione avviene in fase di esecuzione al primo avvio tramite interfaccia grafica o tramite API. È necessario impostare:

• server_address: l'indirizzo IP della macchina vulnerabile. Deve essere l'indirizzo di destinazione di tutte le connessioni nei pcap. Se ogni servizio vulnerabile ha un proprio IP, questo parametro accetta anche un indirizzo CIDR. L'indirizzo può essere sia IPv4 che IPv6
• flag_regex: l'espressione regolare che corrisponde a una flag. Di solito fornita nella pagina delle regole della competizione
• auth_required: se true, viene abilitata un'autenticazione di base per proteggere l'analizzatore
• un array accounts opzionale, che contiene le credenziali degli utenti autorizzati

Documentazione

Il backend, scritto in linguaggio Go, è progettato come un servizio. Espone API REST utilizzate dal frontend scritto con React. L'elenco delle API disponibili con la loro spiegazione è disponibile qui: https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

Screenshot

Di seguito sono riportati alcuni screenshot che mostrano le principali funzionalità dello strumento.

Finestra principale, con elenco delle connessioni e contenuto del flusso

Finestra principale, con la timeline espansa

Vista delle regole e dei servizi

Vista delle ricerche e dei pcap

Licenza

caronte è stato creato da Emiliano Ciavatta ed è concesso in licenza secondo i termini della licenza GPL-3.0.