BRAWL

Uno dei problemi impegnativi per i ricercatori di cybersecurity che sviluppano capacità di rilevamento e risposta è trovare un ambiente realistico in cui testare le loro ipotesi e capacità.

Il metodo più economico è testare le capacità su una piccola rete di laboratorio. Ma questo ambiente manca della scala di una rete aziendale reale e del rumore degli ambienti reali che rendono il rilevamento molto più difficile. In molti modi, l'ambiente migliore sarebbe testare su più reti aziendali con un attaccante controllato ma realistico e rumore reale da utenti, amministratori di sistema e software/dispositivi di terze parti. La sfida del test in questo ambiente è che è costoso e in alcuni scenari ad alto rischio.

BRAWL cerca di creare un compromesso creando un sistema per generare automaticamente una rete aziendale all'interno di un ambiente cloud. OpenStack è l'unico ambiente attualmente supportato, ma è progettato in modo da supportare facilmente altri ambienti cloud in futuro. BRAWL costruisce anche una rete di analisi contenente una pipeline di acquisizione ed elaborazione dei dati utilizzando LogStash e Kafka. Come parte della rete di analisi, crea un sistema di archiviazione e ricerca degli eventi utilizzando Elasticsearch e Kibana. BRAWL avvia una "Game Board" di rete aziendale con immagini Windows. Queste immagini hanno Microsoft Sysmon e altri sensori già installati e configurati per inoltrare i log nel framework di acquisizione dati.

BRAWL ha anche il concetto di bot, che possono essere Red, Blue o Gray. I bot Red sono offensivi, i bot Blue sono difensivi e i bot Gray emulano il comportamento legittimo degli utenti per fornire rumore che renda il rilevamento più difficile. Quando un utente vuole testare ipotesi di ricerca, implementa un bot BRAWL. Il bot BRAWL si registra con il Controller BRAWL, che orchestra poi le partite tra i bot BRAWL sulla Game Board.

Rilascio dei dati

Nota: A causa di problemi con le dimensioni dei file e le quote di GitHub, stiamo inserendo tutti i file in un file zip invece di lasciarli come testo normale nel repository git. Tutti i dati sono nel file

Questo rilascio consiste in alcuni dati di un prototipo BRAWL. Abbiamo creato una piccola rete aziendale, descritta di seguito. Abbiamo quindi eseguito una singola partita utilizzando il progetto di ricerca MITRE CALDERA come bot rosso.

CALDERA è un progetto di ricerca correlato di MITRE che automatizza l'attività di emulazione degli avversari basandosi sulle informazioni nel modello Adversarial Tactics, Techniques, and Common Knowledge (ATT&CK). Implementa una serie di tattiche e tecniche ATT&CK e utilizza un sistema di pianificazione (https://dl.acm.org/citation.cfm?id=2991111) per automatizzare l'attuazione di tali tecniche e generare un comportamento avversario post-compromissione all'interno di una rete aziendale.

Questi dati sono rilasciati sotto la Creative Commons BY License

Descrizione della rete e dei sensori

La nostra piccola rete aziendale è una rete piatta composta da un Domain Controller (dc.brawlco.com) e 16 workstation. Ogni PC ha il nome dell'utente principale nel nome del PC (ad es. l'utente beane accede tipicamente a beane-pc). Tale utente dispone di privilegi di amministratore locale sul computer.

Tutti i PC eseguono Windows 8.1. Il Domain Controller esegue Windows Server 2012 R2.

Sui PC Windows 8, abbiamo apportato modifiche per abilitare WDigest per mantenere le password in chiaro nella memoria di LSASS utilizzando il seguente comando del registro: reg ADD HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\ /v UseLogonCredential /t REG_DWORD /d 1 /F

Descrizione dello scenario

Per questo esercizio, CALDERA è stato l'unico bot BRAWL partecipante. Sebbene concettualmente BRAWL possa essere utilizzato per testare una varietà di comportamenti degli aggressori e rilevamenti, molti degli sforzi di ricerca di MITRE seguono una filosofia di "assunzione di violazione". Pertanto, diamo a CALDERA un punto di partenza come amministratore locale su un computer della rete all'inizio dell'esercizio.

Inoltre, senza un bot grigio che esegua accessi su host diversi, la Game Board BRAWL è sterile dal punto di vista delle credenziali che possono essere rubate e utilizzate dai bot rossi. Per consentire il movimento laterale, il Controller BRAWL utilizza psexec per creare eventi di accesso su host con le credenziali di altri utenti della rete.

CALDERA ha eseguito le seguenti tecniche ATT&CK durante l'esercizio:

• Account Discovery
• Credential Dumping
• Local Network Configuration Discovery
• Permission Groups Discovery
• PowerShell
• Registry Run Keys / Start Folder
• Remote File Copy
• Remote System Discovery
• Windows Admin Shares
• Windows Management Instrumentation

Dati

Ci sono cinque tipi di dati in questo repository. Ciascuno è contenuto nel proprio file nella cartella data/.

BRAWL Shared Format

I bot rossi e i bot blu sono incoraggiati a registrare informazioni sulle loro attività o rilevamenti nel BRAWL Shared Format (BSF). L'obiettivo è rendere più facile confrontare le azioni/detezioni del bot blu con le azioni del bot rosso.

Il formato è attualmente in fase di sviluppo e potrebbe cambiare nei futuri set di dati.

I campi per BSF sono descritti di seguito nella sezione Dettaglio delle fonti dati.

Note sul tempo

Diverse fonti di eventi in BRAWL gestiscono il tempo in modo diverso. Il tempo è o il momento in cui un evento ha raggiunto il nostro framework di acquisizione dei log, il momento in cui l'evento è stato generato sull'host/endpoint, o il tempo registrato da un bot sulla rete. In generale, questi tempi dovrebbero essere entro pochi millisecondi l'uno dall'altro. Quando possibile, il framework di acquisizione dei log utilizza il tempo dell'evento memorizzato nell'evento invece del tempo in cui l'evento raggiunge i nodi di acquisizione. La tabella seguente dettaglia il metodo utilizzato per ogni tipo di dato.

Dettaglio delle fonti dati

game_metadata

sysmon

Stiamo usando Sysmon v3.11. sysmon_config.txt contiene l'output del comando sysmon -c che dettaglia la nostra configurazione.

Sysmon genera molti tipi diversi di eventi, che mappano a diverse coppie CAR oggetto/azione. I campi per ogni tipo sono spiegati in maggior dettaglio sul sito CAR: https://car.mitre.org/wiki/Data_Model

Le coppie oggetto/azione generate da Sysmon nella nostra configurazione sono:

• driver/load
• file/attr_modify
• flow/start
• module/load
• process/create
• process/terminate
• thread/create
• threat/remote_create

Utilizzare il modello dati CAR per determinare i nomi dei campi e la semantica per i campi contenuti in data_model.fields.* per ogni coppia oggetto/azione sopra.

win_event

computer_properties

Questi dati sono stati raccolti periodicamente utilizzando il modulo unified_json.ps1 di MITRE da PowerShell Utilities for Security Situational Awareness. Il campo userinfo può essere utile per determinare quali credenziali potrebbero essere state compromesse se un dump di credenziali come Mimikatz è stato eseguito sul sistema.

bsf

Gli oggetti all'interno del campo array bsf sono di tipo operation, step o event. Tutti gli oggetti hanno un campo nodetype che può essere utilizzato per determinare il tipo di oggetto.

Oggetto BSF event

Informazioni Oggetto/Azione/Campi per gli Oggetti Evento

Puoi leggere ulteriori informazioni sulla semantica dei Campi Obbligatori e Opzionali trovando l'oggetto associato nel Modello Dati CAR

Oggetto BSF step

Gli oggetti step collegano uno o più eventi in un raggruppamento di attività di livello superiore. Gli oggetti step offrono anche un posto per gli emettitori BSF per etichettare l'attività con etichette ATT&CK.

Oggetto BSF operation

Gli oggetti operation collegano più oggetti step tra loro. Tuttavia non sono presenti oggetti Operation in questo set di dati.

Note generali su BSF

Descrizioni e note per i campi degli eventi (in particolare gli "Almeno uno tra"):1. Campi temporali.

1. Tempo puntuale. Attività come la cancellazione di un file sono essenzialmente puntuali, con un singolo momento di occorrenza che può essere fornito tramite il campo time. Tuttavia, è possibile che né il team red né il team blue conoscano questo timestamp esatto. Ad esempio, i bot red possono generare un processo per compiere un'azione in una finestra temporale, ma il momento esatto in cui l'azione avviene è sconosciuto. I bot blue possono utilizzare sensori che comportano ritardi di rilevamento. Pertanto, BSF fornisce anche due campi temporali happened_after e happened_before come parentesi sinistra e destra rispettivamente, che definiscono i limiti di un intervallo di incertezza per l'evento reale. Almeno uno di questi tre campi (cioè time, happened_after, happened_before) deve essere riportato con ogni oggetto event. Gli altri campi sono opzionali, ma dovrebbero essere riportati se noti. In particolare, i bot sono incoraggiati a riportare un valore per "time" che sia la loro miglior stima, anche se non hanno un orario esatto.
2. Tempo durativo. Attività come un flusso sono di natura durativa, coprendo un periodo di tempo. BSF gestisce generalmente le attività durative registrando i punti finali del loro intervallo come tempi puntuali. Pertanto, un evento di inizio flusso richiede uno di {time, happened_after, happened_before}, così come l'evento di fine flusso. Tuttavia, alcuni sensori blue possono rilevare un'attività durativa a metà del suo corso (ad esempio, uno scanner che analizza periodicamente lo stato di tutti i processi e determina che uno è diventato malevolo). Per i flussi, le rilevazioni a metà corso possono essere segnalate come "flow, message, time, ... (altri campi)". Per i processi, le rilevazioni a metà corso possono essere segnalate come "process, scanned, time, ... (altri campi)".

Appendice

Host sulla nostra rete BRAWL per questa partita:

• beane-pc.brawlco.com
• colgan-pc.brawlco.com
• dc.brawlco.com
• escue-pc.brawlco.com
• fulco-pc.brawlco.com
• harley-pc.brawlco.com
• kressierer-pc.brawlco.com
• mims-pc.brawlco.com
• minahan-pc.brawlco.com
• ostermeyer-pc.brawlco.com
• peele-pc.brawlco.com
• platten-pc.brawlco.com
• santilli-pc.brawlco.com
• sespinosa-pc.brawlco.com
• sounder-pc.brawlco.com
• teston-pc.brawlco.com
• zissler-pc.brawlco.com