AutoResponder

Strumento IR di Carbon Black Response per la caccia alle minacce in un ambiente

Cos'è?

AutoResponder è uno strumento pensato per aiutare le persone a svolgere le loro attività di Incident Response CON l'aiuto delle fantastiche capacità di Carbon Black Response e SENZA disturbare troppo i team IT/Sistema/Rete

Cosa può fare?

A chi è rivolto?

Come?

Per coloro che non hanno familiarità con Carbon Black Response, è un prodotto piuttosto straordinario che offre una soluzione ai casi di Incident Response in modo unico e fantastico. Carbon Black Response ha un'integrazione API Python che aiuta le persone ad automatizzare le loro attività, risparmiando molto tempo. Quindi tutto ciò che vedi in questo progetto è solo magia dell'API Python - niente di più, niente di meno.

Ma perché..?

Negli ultimi mesi ci sono stati molti casi di Incident Response con cui il nostro team ha dovuto fare i conti. Anche se siamo usciti come dei campioni, ho notato che il nostro team aveva difficoltà a comunicare con i team IT/Sistema/Rete del cliente e quando lo facevano, una semplice ricerca di file richiedeva settimane. Poiché siamo partner di Carbon Black per l'Incident Response e poiché utilizziamo pesantemente Carbon Black Response nella maggior parte dei casi in cui siamo coinvolti, ho deciso di scrivere uno strumento per aiutare il nostro team a portare a termine compiti MOLTO GRANDI in pochissimo tempo con il minimo aiuto degli altri.

Che problema c'è? Ci sono altri strumenti e persone per questo

D'accordo, ora immagina uno scenario in cui centinaia di endpoint sono stati compromessi, l'attaccante ha stabilito la persistenza su tutti e ha lasciato tonnellate di file. E che coincidenza - l'intero team IT ha deciso di andare in vacanza senza lasciare nessuno in ufficio per gestire l'incidente e l'Amministratore di Dominio vuole compilare un modulo per ogni tasto premuto sulla sua tastiera - eliminando la tua capacità di identificare ed eliminare le minacce sui sistemi compromessi. Buona fortuna! (Una storia vera tra l'altro)

Come posso usarlo?

Il codice è scritto in Python3, quindi qualsiasi versione superiore alla 3.4 andrà bene

1. Scarica l'archivio zip o fai un git clone
2. Installa i moduli richiesti con pip3 install -r requirements.txt
3. Configura l'API di Carbon Black => https://cbapi.readthedocs.io/en/latest/
4. Spacca

THOR Scan

Per scansionare il repository binario con THOR hai solo bisogno di

1. Ottieni il pacchetto thor per linux
2. Aggiungi una licenza valida (la licenza di prova non è supportata)
3. Carica la directory THOR sul server CBR che desideri scansionare (Master su singolo e Minion su ambiente cluster)
4. Esegui il modulo run-thor

Ringraziamenti speciali a

Un grande ringraziamento a https://twitter.com/harunglec per aver aiutato con il modulo di multi-threading.

Puoi scansionare l'intero repository binario contenente i file eseguibili raccolti da CBR con THOR APT Scanner. https://twitter.com/thor_scanner

P.S

Questo è solo codice Python - il che significa che sentiti libero di modificarlo per le tue esigenze. Segnala eventuali problemi a => https://github.com/lawiet47/autoresponder/issues

I moduli attuali sono stati tutti testati su sensori con Windows come sistema operativo. Ma puoi provarli anche su Linux.