Manuka

Descrizione

Manuka è un honeypot di Open-source intelligence (OSINT) che monitora i tentativi di ricognizione da parte di attori minacciosi e genera intelligence utilizzabile per i Blue Team. Crea un ambiente simulato composto da fonti OSINT allestite, come profili di social media e credenziali leakate, e traccia segni di interesse degli avversari, allineandosi strettamente al framework PRE-ATT&CK di MITRE. Manuka offre ai Blue Team una visibilità aggiuntiva della fase di ricognizione pre-attacco e genera segnali di allarme precoce per i difensori.

Sebbene varino per scala e sofisticazione, la maggior parte degli honeypot tradizionali si concentra sulle reti. Questi honeypot scoprono gli attaccanti nelle fasi dalla 2 (Weaponization) alla 7 (Actions on Objectives) della kill chain informatica, presupponendo che gli attaccanti stiano già sondando la rete.

Manuka effettua il rilevamento delle minacce OSINT nella Fase 1 (Ricognizione) della kill chain informatica. Nonostante gli investimenti milionari in difese di rete, le organizzazioni possono essere facilmente compromesse tramite una singola ricerca su Google. Un esempio recente è quello di hacker che hanno esposto riunioni aziendali, sessioni di terapia e lezioni universitarie attraverso chiamate Zoom lasciate aperte sul web. Le imprese hanno bisogno di rilevare queste minacce OSINT sul proprio perimetro, ma mancano degli strumenti per farlo.

Manuka è costruito per scalare. Gli utenti possono facilmente aggiungere nuovi moduli listener e collegarli all'ambiente Dockerizzato. Possono coordinare più campagne e honeypot simultaneamente per ampliare la superficie honeypot. Inoltre, gli utenti possono personalizzare e distribuire rapidamente Manuka per adattarlo a diversi casi d'uso. I dati di Manuka sono progettati per essere facilmente trasferiti ad altri strumenti di analisi e visualizzazione di terze parti nel flusso di lavoro di un'organizzazione.

Progettare un honeypot OSINT presenta una sfida nuova a causa della complessità e dell'ampia gamma di tecniche OSINT. Tuttavia, uno strumento del genere permetterebbe ai Blue Team di "spostarsi a sinistra" nella loro strategia di cyber threat intelligence.

Dashboard

Progetto dello strumento

Architettura

Manuka si basa sui seguenti termini e processi chiave.

• Fonti: Possibili vettori OSINT come profili di social media, credenziali esposte e codice sorgente leakato.
• Listener: Server che monitorano le fonti per le interazioni con gli attaccanti.
• Hit: Indicatori di interesse come tentativi di accesso con credenziali leakate e connessioni sui social media.
• Honeypot: Gruppi di fonti e listener organizzati in una singola Campagna che analizza e traccia gli hit nel tempo.

Progetto del sistema

Il framework stesso è composto da diversi contenitori Docker che possono essere distribuiti su un singolo host.

• manuka-server: Server Golang centrale che esegue operazioni CRUD e assorbe gli hit dai listener.
• manuka-listener: Server Golang modulare che può svolgere diversi ruoli di listener.
• manuka-client: Dashboard React per il Blue Team per gestire le risorse di Manuka.

Questi contenitori sono orchestrati tramite un singolo comando docker-compose.

Sviluppo

In sviluppo, i componenti girano sulle seguenti porte nei rispettivi contenitori:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Per consentire al client e al server di comunicare senza problemi di CORS, un ulteriore layer nginx su localhost:8080 proxy-passa /api/ a manuka-server e / a manuka-listener.

Inoltre, manuka-listener opera sulle seguenti porte:

1. 8081 per la pagina di login allestita
2. 8082 per interagire con l'email allestita

Requisiti

Vedi i repository dei singoli componenti per i loro requisiti.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configurazione

1. Crea un file in docker/secrets/postgres_password con la password per Postgres.
2. Configura un account Google per Gmail per ricevere email dai profili di social media.
3. Configura Google Cloud Pub/Sub su https://console.cloud.google.com/cloudpubsub per la funzionalità di push email (guida: https://developers.google.com/gmail/api/guides/push). La guida istruirà anche su come creare un progetto Cloud.
4. Crea il file docker/secrets/google_credentials.json con le credenziali del tuo progetto.
5. Aggiungi l'argomento creato su Cloud Pub/Sub a docker/secrets/google_topic.
6. Ottieni un token oauth2 per il tuo account Google. Manuka richiede un token oauth2 la prima volta che viene eseguito. Successivamente, lo aggiornerà automaticamente. Salva il token in docker/secrets/google_oauth2_token.json.

Esecuzione

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Inizializza il servizio di push gmail di manuka-listener:
   1. Inizializza ngok ./ngok http <manuka-listener port> e prendi nota dell'URL https.
   2. Nel menu a sinistra della dashboard Google PubSub, vai a Subscriptions -> <nome sottoscrizione> -> Modifica sottoscrizione e cambia l'URL dell'Endpoint in <URL https di ngok>/notifications.
   3. Prova a inviare un'email da un altro account all'account Gmail di destinazione. Dovresti vedere POST /notifications 200 OK sulla console di ngrok e Received push notification sulla console Docker.

Produzione

In produzione, le seguenti porte mappano questi server:

1. 8080: manuka-client su / e manuka-server su /api
2. 80: manuka-listener-login su / e manuka-listener-social su /notifications

Questo permette a qualsiasi dominio che punta al tuo server di apparire come la falsa pagina di login, mentre la dashboard di amministrazione è disponibile sulla porta 8080. Inoltre, la dashboard di amministrazione è protetta da autenticazione HTTP di base al livello di nginx.

Requisiti

Vedi i repository dei singoli componenti per i loro requisiti.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configurazione

1. Simile alla configurazione per lo sviluppo, assicurati che tutti i segreti e le impostazioni di Google Cloud siano in atto. Nota che l'URL della sottoscrizione ora dovrebbe essere http://DOMINIO/notifications.
2. Punta il tuo nome di dominio all'IP del tuo server.
3. Copia docker/nginx/nginx.prod.conf.example in docker/nginx/nginx.prod.conf e sostituisci examplecompany.com con il tuo dominio di produzione.
4. Esegui init-letsencrypt.sh per generare i tuoi certificati SSL.

Esecuzione

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME e NGINX_PASSWORD saranno la tua autenticazione di base per la dashboard.
   2. COMPANY_NAME sarà il nome dell'azienda della falsa pagina di login.

Listener attualmente supportati

1. Social Listener

   Monitora le attività social su Facebook e LinkedIn. Attualmente supporta la notifica di tentativi di connessione di rete. Nota che l'account o gli account di social media monitorati dovrebbero avere la notifica email abilitata. L'account email o gli account corrispondenti che ricevono le notifiche email dalle piattaforme social dovrebbero essere configurati per inoltrare queste email all'account Gmail centralizzato.

2. Login Listener

   Monitora i tentativi di accesso utilizzando credenziali leakate sul sito honeypot.

Altro

Categoria

OSINT - Open Source Intelligence

Riconoscimenti

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock