Leonidas

Questo è il repository che contiene Leonidas, un framework per eseguire azioni di attaccante nel cloud. Fornisce un formato basato su YAML per definire tattiche, tecniche e procedure (TTP) dell'attaccante nel cloud e le relative proprietà di rilevamento. Queste definizioni possono poi essere compilate in:

• Un'API web che espone ogni caso di test come endpoint individuale
• Regole Sigma (https://github.com/Neo23x0/sigma) per il rilevamento
• Documentazione - vedere http://detectioninthe.cloud/ per un esempio

Il progetto è stato originariamente progettato per l'uso in ambienti AWS, con la seguente architettura:

Nel 2024, Leonidas è stato esteso per supportare ambienti Kubernetes. Le sue risorse possono essere distribuite all'interno del cluster di destinazione, come illustrato nella seguente architettura:

Distribuzione dell'API

L'API viene distribuita in un account AWS tramite una pipeline CI/CD nativa di AWS, e in un cluster Kubernetes utilizzando manifest YAML generati automaticamente. Le istruzioni per entrambi gli ambienti si trovano in Distribuzione di Leonidas.

Utilizzo dell'API

L'API viene invocata tramite richieste web protette da una chiave API. I dettagli sull'utilizzo dell'API si trovano in Utilizzo di Leonidas

Installazione del Generatore Localmente

Per creare documentazione o regole Sigma, è necessario installare il generatore localmente. Puoi farlo tramite:

• cd generator
• poetry install

Generazione delle Regole Sigma

Le regole Sigma possono essere generate come segue:

• poetry run ./generator.py sigma

Le regole appariranno quindi in ./output/sigma

Generazione della Documentazione

La documentazione viene generata come segue:

• poetry run ./generator.py docs

Questo produrrà versioni markdown della documentazione disponibili in output/docs. Può essere caricato su un sistema di documentazione esistente basato su markdown, oppure si può utilizzare il seguente comando per creare una versione HTML migliorata della documentazione:

• cd ../output
• mkdocs build

Questo creerà una cartella output/site contenente il sito HTML. È anche possibile visualizzarlo localmente eseguendo mkdocs serve nella stessa cartella.

Scrittura delle Definizioni

Le definizioni sono scritte in un formato basato su YAML, di cui viene fornito un esempio qui sotto. La documentazione su come scriverle si trova in Scrittura delle Definizioni

---
name: Enumerate Cloudtrails for a Given Region
author: Nick Jones
description: |
  An adversary may attempt to enumerate the configured trails, to identify what actions will be logged and where they will be logged to. In AWS, this may start with a single call to enumerate the trails applicable to the default region.
category: Discovery
mitre_ids:
  - T1526
platform: aws
permissions:
  - cloudtrail:DescribeTrails
input_arguments:
executors:
  sh:
    code: |
      aws cloudtrail describe-trails
  leonidas_aws:
    implemented: True
    clients:
      - cloudtrail
    code: |
      result = clients["cloudtrail"].describe_trails()
detection:
  sigma_id: 48653a63-085a-4a3b-88be-9680e9adb449
  status: experimental
  level: low
  sources:
    - name: "cloudtrail"
      attributes:
        eventName: "DescribeTrails"
        eventSource: "*.cloudtrail.amazonaws.com"

Crediti

Progetto creato e mantenuto da Nick Jones ( NJonesUK / @nojonesuk).

Supporto Kubernetes aggiunto da Leo Tsaousis ( @laripping ).

Un ringraziamento speciale anche a Mohit Gupta ( @Skybound1 ) per il suo prezioso contributo.

Questo progetto ha tratto idee e ispirazione da una serie di fonti, tra cui:

• Pacu
• Rhino Security's AWS IAM Privilege Escalations
• All of Scott Piper's AWS security work ( https://github.com/0xdabbad00 / @0xdabbad00 )
• MITRE ATT&CK
• MITRE CALDERA
• Red Canary's Atomic Red Team
• Sigma