BLUESPAWN

Stato del Codice

La Nostra Missione

BLUESPAWN aiuta i team blu a monitorare i sistemi in tempo reale contro attaccanti attivi, rilevando attività anomale.

Cos'è BLUESPAWN

BLUESPAWN è uno strumento di difesa attiva e rilevamento e risposta degli endpoint che può essere utilizzato dai difensori per rilevare, identificare ed eliminare rapidamente attività dannose e malware su una rete.

Coinvolgiti e Contribuisci al Progetto

Vuoi aiutare a rendere BLUESPAWN ancora più efficace nel localizzare e fermare il malware? Unisciti a noi sul Server Discord di BLUESPAWN e aiuta con lo sviluppo o semplicemente suggerisci una funzionalità o segnala un bug. Nessuna esperienza richiesta – non c'è modo migliore per imparare lo sviluppo o la sicurezza che tuffarsi direttamente!

Se desideri contribuire con codice, puoi iniziare consultando la nostra pagina wiki su come configurare l'ambiente di sviluppo. Sentiti libero di contattarci su Discord se incontri problemi durante la configurazione! Di solito teniamo traccia di bug e nuove funzionalità tramite Issues e ci coordiniamo in chat durante qualsiasi lavoro di sviluppo.

Perché Abbiamo Creato BLUESPAWN

Abbiamo creato e reso open-source questo strumento per una serie di motivi, tra cui:

• Muoversi Più Velocemente: Volevamo strumenti specificamente progettati per identificare rapidamente attività dannose su un sistema.
• Conoscere la Nostra Copertura: Volevamo sapere esattamente cosa i nostri strumenti potessero rilevare e non affidarci troppo a software a scatola chiusa (es. programmi antivirus). Questo approccio ci aiuterà a concentrare meglio i nostri sforzi su specifiche linee d'azione e ad avere fiducia nello stato degli altri.
• Migliore Comprensione: Volevamo comprendere meglio la superficie d'attacco di Windows per difenderla meglio.
• Più Software Open-Source per il Team Blu: Mentre esistono molti strumenti Red Team open-source, la stragrande maggioranza dei migliori strumenti Blue Team è closed-source (es. AV, EDR, SysInternals, ecc.). Non dovremmo doverci affidare alla sicurezza tramite oscurità per prevenire attori malintenzionati (ovviamente molto difficile, ma qualcosa a cui tendere!).
• Dimostrare le Caratteristiche delle API del Sistema Operativo: Abbiamo setacciato tonnellate di documentazione Microsoft, risposte su StackOverflow e altro per creare questo. Speriamo che altri possano trovare utile parte del codice.

Copertura di MITRE ATT&CK

Visita questa mappa per vedere le attuali capacità di copertura.

Prova BLUESPAWN

Nota: BLUESPAWN è in fase di sviluppo alpha attivo, quindi molte funzionalità potrebbero non funzionare ancora come previsto e i rilevamenti potrebbero essere troppo limitati o generare molti falsi positivi.

Nota 2: BLUESPAWN è pensato per essere utilizzato da un professionista della sicurezza nella maggior parte dei casi e, di conseguenza, a volte rileverà attività non dannose. Sebbene BLUESPAWN aiuti a individuare rapidamente elementi potenzialmente dannosi, si aspetta che l'utente utilizzi le informazioni disponibili per prendere la decisione finale.

0. Dai un'occhiata alle pagine Wiki per saperne di più sulle opzioni della riga di comando, esempi e altro.
1. Scarica l'ultima release da questa pagina.
2. Apri un Prompt dei Comandi come Amministratore.
3. Esegui il seguente comando per vedere le opzioni disponibili:

.\BLUESPAWN-client-x64.exe --help

Modalità Mitigate

4. Esegui il seguente comando dal Prompt dei Comandi come Amministratore per controllare la presenza di molte impostazioni di sicurezza sul sistema:

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

Modalità Hunt

5. Esegui BLUESPAWN dal Prompt dei Comandi come Amministratore per cercare attività dannose nel sistema:

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

Modalità Monitor

6. Esegui BLUESPAWN dal Prompt dei Comandi come Amministratore per monitorare attività dannose nel sistema:

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

Linee d'Azione

BLUESPAWN è composto da 3 modalità principali come elencato di seguito. Molti di questi moduli hanno sottomoduli (che potrebbero non essere ancora stati creati nel repository) come elencato, e tutti sono in varie fasi di pianificazione, ricerca e sviluppo. Inoltre, sono supportati da numerosi altri moduli.

• Hunt (Cerca tracce di comportamento dannoso)

• Mitigate (Mitiga le vulnerabilità applicando impostazioni di sicurezza)

• Monitor (Monitora continuamente il sistema per comportamenti potenzialmente dannosi)

• Scan (Utilizzato per valutare gli elementi identificati dalle ricerche e decidere se sono sospetti/malware)

• User (Contiene il main del programma, IOBase e altre funzioni simili)

• Util (Contiene una raccolta di moduli che supportano le operazioni principali)

  • Configurazioni
  • Log degli eventi
  • File System
  • Log
  • PE
  • Processi

Talk, Pubblicazioni e Altre Menzioni

Ecco alcuni dei luoghi in cui potresti aver sentito parlare del progetto :)

DEFCON 28 Blue Team Village - Panoramica, Slide

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

BLUESPAWN Research Paper all'UVA - Paper, DOI 10.18130/v3-b1n6-ef83

Contattaci

Se hai domande, commenti o suggerimenti, non esitare a inviarci un'email a [email protected] o a contattarci su il Server Discord di BLUESPAWN.

Licenze e Conformità

Il codice principale di BLUESPAWN è concesso in licenza sotto GNU General Public License (GPL) v3.0.

Nota che il progetto integra diverse altre librerie per fornire funzionalità/rilevamenti aggiuntivi. Una di queste è la signature-base di Florian Roth, concessa sotto la Creative Commons Attribuzione-NonCommerciale 4.0 Internazionale. Le regole YARA di questo progetto sono integrate nella build standard senza alcuna modifica. Per utilizzare BLUESPAWN per scopi commerciali, devi rimuovere tutto ciò che si trova sotto la riga "Non-Commercial Only" in questo file e ricompilare il progetto.

Autori del Progetto

Realizzato con ❤️ dal Team di Difesa Informatica dell'UVA e dalle altre fantastiche persone del team di sviluppo principale elencate di seguito

• Jake Smith (Github, Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github, Twitter)
• Will Mayes (Github, Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

Collaboratori

Grazie a tutte le persone elencate di seguito per i loro contributi a BLUESPAWN!

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

Vuoi aiutare? Dai un'occhiata alle Issues correnti, aggiungi idee per nuove funzionalità, scrivi del codice e crea una pull request!

Ringraziamenti Speciali

Desideriamo ringraziare in modo speciale i seguenti progetti che ci hanno aiutato a costruire BLUESPAWN:

• Il supporto di Github ai progetti open-source, specialmente la possibilità di utilizzare Github Actions senza limiti.
• La documentazione e gli esempi di Microsoft sull'API di Windows.
• La Defense Information Systems Agency (DISA) del Dipartimento della Difesa per il loro eccellente lavoro nella pubblicazione di STIG e varie altre guide tecniche di sicurezza per Windows.
• Il PE Sieve di @hasherezade, che attualmente gestisce le nostre analisi dei processi.
• Il progetto YARA di VirusTotal che utilizziamo per scansionare i dati alla ricerca di identificatori dannosi.
• Il repository Rules del progetto Yara Rules che contiene una vasta raccolta di regole YARA open-source.
• Il progetto open-source signature-base di @Neo23x0 che contiene una vasta raccolta di regole YARA.
• Il progetto MITRE ATT&CK che ha messo insieme un framework straordinario per considerare, documentare e categorizzare le tecniche degli avversari.
• I progetti Atomic Red Team e Invoke-AtomicRedTeam di Red Canary, che sono stati incredibilmente utili per testare i rilevamenti che stiamo costruendo.
• L'Iniziativa Open Source di AWS di Amazon, che ha fornito al nostro team alcuni crediti promozionali AWS per aiutarci a ricercare e testare meglio BLUESPAWN.
• Le linee guida Event Forwarding Guidance di Windows del NSA Cybersecurity Directorate.
• Il blog sulla sicurezza di Active Directory di Sean Metcalf, ADSecurity.
• Il sito web di Geoff Chappell sui componenti di Windows.