BlueHound è uno strumento open-source che aiuta i blue team a individuare i problemi di sicurezza che contano davvero. Combinando informazioni su permessi utente, accesso di rete e vulnerabilità non patchate, BlueHound rivela i percorsi che gli attaccanti seguirebbero se fossero all'interno della tua rete.
È un fork di NeoDash, reinventato per essere adatto a scopi di sicurezza difensiva.

Per iniziare con BlueHound, dai un'occhiata al nostro video introduttivo, post sul blog e talk alla conferenza Nodes22.

BlueHound supporta la presentazione dei tuoi dati come tabelle, grafici, istogrammi, grafici a linee, mappe e altro. Contiene un editor Cypher per scrivere direttamente le query Cypher che popolano i report. Puoi salvare le dashboard nel tuo database e condividerle con altri.

Caratteristiche principali

1. Automazione completa: L'intero ciclo di raccolta, analisi e reportistica viene eseguito sostanzialmente con un clic.
2. Guidato dalla comunità: La configurazione di BlueHound può essere esportata e importata da altri. Condivisione di conoscenze, best practice, metodologie di raccolta e altro, integrata nello strumento stesso.
3. Reportistica facile: Creare report personalizzati in modo intuitivo, senza necessità di scrivere codice.
4. Personalizzazione facile: Qualsiasi metodo di raccolta personalizzato può essere aggiunto a BlueHound. Gli utenti possono anche aggiungere propri parametri personalizzati o persino icone personalizzate per i loro grafici.

Per iniziare

ROST ISO

BlueHound può essere utilizzato come parte dell'immagine ROST, che viene preconfigurata con tutto il necessario (BlueHound, Neo4j, BloodHound e un dataset di esempio).
Per caricare ROST, crea una nuova macchina virtuale e installala dal ISO come faresti per un nuovo host Windows.

BlueHound Binary

Se hai già un'istanza Neo4j in esecuzione, puoi scaricare una versione precompilata di BlueHound dalla nostra pagina delle release. Basta scaricare il file zip adatto alla versione del tuo sistema operativo, estrarlo ed eseguire il binario.

Utilizzare BlueHound

1. Collegati al tuo server Neo4j
2. Scarica SharpHound, ShotHound e il parser dei report dello scanner di vulnerabilità
3. Usa la sezione Data Import per raccogliere e importare dati nel tuo database Neo4j.
4. Una volta caricati i dati, puoi usare la scheda Configurations per impostare le informazioni di base che vengono utilizzate dalle query (es. gruppo Domain Admins, server crown jewels).
5. Infine, la sezione Queries può essere utilizzata per preparare i report.

BlueHound How-To

Raccolta dati

La sezione Data Import Tools può essere utilizzata per raccogliere dati con un clic. Di default, BlueHound viene fornito preconfigurato con SharpHound, ShotHound e lo script degli scanner di vulnerabilità. Ulteriori strumenti possono essere aggiunti per una maggiore raccolta dati. Per iniziare:

1. Scarica gli strumenti pertinenti usando l'icona del globo
2. Configura il percorso dello strumento e gli argomenti per ciascuno strumento
3. Esegui gli strumenti

Gli strumenti integrati possono essere configurati per caricare automaticamente i risultati nella tua istanza Neo4j.

Eseguire e visualizzare le query

Per ottenere risultati per un grafico, usa l'icona di aggiornamento per eseguire una query specifica, oppure usa la sezione Query Runner per eseguire query in batch. I risultati vengono memorizzati nella cache anche dopo aver chiuso BlueHound e possono essere eseguiti nuovamente per ottenere risultati aggiornati.
Alcuni grafici hanno un'icona Info che spiega la query e/o fornisce collegamenti a informazioni aggiuntive.

Aggiungere e modificare le query

Puoi modificare la query per grafici nuovi e/o esistenti utilizzando l'icona Impostazioni nella sezione in alto a destra del grafico. Qui puoi utilizzare qualsiasi parametro configurato con un grafico Param Select e qualsiasi stringa di Edge Filtering (vedi sezione sotto).

Edge Filtering

Utilizzando la sezione Edge Filtering, puoi filtrare tipi di relazione specifici per tutte le query che utilizzano la stringa pertinente nella loro query. Ad esempio, ":FILTERED_EDGES" può essere utilizzato per filtrare in base a tutti i filtri di selezione.
Puoi anche filtrare per una categoria specifica (vedi l'icona Info) o persino definire i tuoi filtri perimetrali personalizzati.

Importa ed esporta configurazione

Le sezioni Export Config e Import Config possono essere utilizzate per salvare e caricare la tua dashboard e le configurazioni come backup, e persino condividerle tra utenti per collaborare e contribuire con query utili alla comunità della sicurezza. Non preoccuparti, le tue credenziali e i tuoi dati non verranno esportati.

Nota: anche gli argomenti per gli strumenti di importazione dati vengono esportati, quindi assicurati di rimuovere eventuali segreti prima di condividere la tua configurazione.

Impostazioni

La sezione Impostazioni ti consente di impostare alcuni limiti globali sull'esecuzione delle query: tempo massimo di query e limite per i risultati restituiti.

Informazioni tecniche

BlueHound è un fork di NeoDash, costruito con React e use-neo4j. Utilizza charts per alimentare alcune delle visualizzazioni. Puoi anche estendere NeoDash con le tue visualizzazioni. Dai un'occhiata alla guida per sviluppatori nel repository del progetto.

Guida per sviluppatori

Esecuzione e build con npm

BlueHound è costruito con React. Avrai bisogno di npm installato per eseguire l'app web.

Utilizza una versione recente di npm e node per compilare BlueHound. L'applicazione è stata testata con npm 8.3.1 e node v17.4.0.

Per eseguire l'applicazione in modalità di sviluppo:

• clona questo repository.
• apri un terminale e naviga nella directory che hai appena clonato.
• esegui npm install per installare le dipendenze necessarie.
• esegui npm run dev per eseguire l'app in modalità di sviluppo.
• l'applicazione dovrebbe essere disponibile all'indirizzo http://localhost:3000.

Per compilare l'app per la produzione:

• segui i passaggi precedenti per clonare il repository e installare le dipendenze.
• esegui npm run build. Questo creerà una cartella build nella directory del progetto.
• distribuisci il contenuto della cartella build su un server web. Dovresti quindi essere in grado di eseguire l'app web.

Domande / Suggerimenti

Siamo sempre aperti a idee, commenti e suggerimenti riguardanti le future versioni di BlueHound, quindi se hai idee, non esitare a contattarci a [email protected] o apri un issue/pull request su GitHub.