BLUESPAWN

Stato del Codice

La Nostra Missione

BLUESPAWN aiuta i team blu a monitorare i sistemi in tempo reale contro attaccanti attivi, rilevando attività anomale.

Cos'è BLUESPAWN

BLUESPAWN è uno strumento di difesa attiva e rilevamento e risposta degli endpoint che può essere utilizzato dai difensori per rilevare, identificare ed eliminare rapidamente attività dannose e malware su una rete.

Coinvolgiti e Contribuisci al Progetto

Vuoi aiutare a rendere BLUESPAWN ancora più efficace nel localizzare e fermare il malware? Unisciti a noi sul Server Discord di BLUESPAWN e aiuta con lo sviluppo o semplicemente suggerisci una funzionalità o segnala un bug. Nessuna esperienza richiesta – non c'è modo migliore per imparare lo sviluppo o la sicurezza che tuffarsi direttamente!

Se desideri contribuire con codice, puoi iniziare consultando la nostra pagina wiki su come configurare l'ambiente di sviluppo. Sentiti libero di contattarci su Discord se incontri problemi durante la configurazione! Di solito teniamo traccia di bug e nuove funzionalità tramite Issues e ci coordiniamo in chat durante qualsiasi lavoro di sviluppo.

Perché Abbiamo Creato BLUESPAWN

Abbiamo creato e reso open-source questo strumento per una serie di motivi, tra cui:

• Muoversi Più Velocemente: Volevamo strumenti specificamente progettati per identificare rapidamente attività dannose su un sistema.
• Conoscere la Nostra Copertura: Volevamo sapere esattamente cosa i nostri strumenti potessero rilevare e non affidarci troppo a software a scatola chiusa (es. programmi antivirus). Questo approccio ci aiuterà a concentrare meglio i nostri sforzi su specifiche linee d'azione e ad avere fiducia nello stato degli altri.
• Migliore Comprensione: Volevamo comprendere meglio la superficie d'attacco di Windows per difenderla meglio.
• Più Software Open-Source per il Team Blu: Mentre esistono molti strumenti Red Team open-source, la stragrande maggioranza dei migliori strumenti Blue Team è closed-source (es. AV, EDR, SysInternals, ecc.). Non dovremmo doverci affidare alla sicurezza tramite oscurità per prevenire attori malintenzionati (ovviamente molto difficile, ma qualcosa a cui tendere!).
• Dimostrare le Caratteristiche delle API del Sistema Operativo: Abbiamo setacciato tonnellate di documentazione Microsoft, risposte su StackOverflow e altro per creare questo. Speriamo che altri possano trovare utile parte del codice.

Copertura di MITRE ATT&CK

Visita questa mappa per vedere le attuali capacità di copertura.

Prova BLUESPAWN

Nota: BLUESPAWN è in fase di sviluppo alpha attivo, quindi molte funzionalità potrebbero non funzionare ancora come previsto e i rilevamenti potrebbero essere troppo limitati o generare molti falsi positivi.

Nota 2: BLUESPAWN è pensato per essere utilizzato da un professionista della sicurezza nella maggior parte dei casi e, di conseguenza, a volte rileverà attività non dannose. Sebbene BLUESPAWN aiuti a individuare rapidamente elementi potenzialmente dannosi, si aspetta che l'utente utilizzi le informazioni disponibili per prendere la decisione finale.

0. Dai un'occhiata alle pagine Wiki per saperne di più sulle opzioni della riga di comando, esempi e altro.
1. Scarica l'ultima release da questa pagina.
2. Apri un Prompt dei Comandi come Amministratore.
3. Esegui il seguente comando per vedere le opzioni disponibili:

.\BLUESPAWN-client-x64.exe --help

Modalità Mitigate

4. Esegui il seguente comando dal Prompt dei Comandi come Amministratore per controllare la presenza di molte impostazioni di sicurezza sul sistema:

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

Modalità Hunt

5. Esegui BLUESPAWN dal Prompt dei Comandi come Amministratore per cercare attività dannose nel sistema:

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

Modalità Monitor

6. Esegui BLUESPAWN dal Prompt dei Comandi come Amministratore per monitorare attività dannose nel sistema:

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

Linee d'Azione

BLUESPAWN è composto da 3 modalità principali come elencato di seguito. Molti di questi moduli hanno sottomoduli (che potrebbero non essere ancora stati creati nel repository) come elencato, e tutti sono in varie fasi di pianificazione, ricerca e sviluppo. Inoltre, sono supportati da numerosi altri moduli.

• Hunt (Cerca tracce di comportamento dannoso)

• Mitigate (Mitiga le vulnerabilità applicando impostazioni di sicurezza)

• Monitor (Monitora continuamente il sistema per comportamenti potenzialmente dannosi)

• Scan (Utilizzato per valutare gli elementi identificati dalle ricerche e decidere se sono sospetti/malware)

• User (Contiene il main del programma, IOBase e altre funzioni simili)

• Util (Contiene una raccolta di moduli che supportano le operazioni principali)

  • Configurazioni
  • Log degli eventi
  • File System
  • Log
  • PE
  • Processi

Talk, Pubblicazioni e Altre Menzioni

Ecco alcuni dei luoghi in cui potresti aver sentito parlare del progetto :)

DEFCON 28 Blue Team Village - Panoramica, Slide

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

BLUESPAWN Research Paper all'UVA - Paper, DOI 10.18130/v3-b1n6-ef83