bhdresh/dejavuDejaVU - オープンソースデセプションフレームワーク
DejaVu（Camolabs.io の一部）は、クラウド（現時点ではAWSをサポート）と内部ネットワークの両方にデコイを展開できる欺瞞プラットフォームです。
これは Blackhat Europe でのプレゼンテーションで、攻撃ライフサイクルのさまざまな段階で一般的な敵対者の戦術や技術を検出するために欺瞞を活用する方法を示しています。
内部ネットワークに DejaVu を展開したい場合は、Camolabs.io からプラットフォームをダウンロードできます。以下のガイドを参考に始めてください。
デフォルト認証情報: administrator:changepassword
DejaVu は2018年に開始し、当初は Blackhat、Defcon、HITB で発表しました。ここ数年で、さまざまな新しいデコイやブレッドクラムを追加し、使用している組織からのフィードバックに基づいてアーキテクチャを変更しました。
DejaVu は防御者が複数のインタラクティブ（サーバーおよびクライアント）デコイを異なるVLANやクラウド（AWS）上に戦略的に展開するために使用できます。デコイの管理を容易にするために、集中コンソールからすべてのデコイを効果的に展開、管理、構成できるウェブベースのプラットフォームを構築しました。ログとアラートのダッシュボードは、生成されたアラートに関する詳細情報を表示し、これらのアラートの処理方法をさらに設定できます。社内の脆弱性スキャナーやSCCMなどの特定のIPを破棄する必要がある場合も設定可能で、これにより誤検出が非常に少なくなります。
アラートは敵対者がデコイと対話した場合にのみ発生するため、攻撃者が偵察中にデコイに触れたり認証試行を行ったりすると、高精度のアラートが発生し、防御側が調査する必要があります。クライアント側デコイを使用して responder/LLMNR 攻撃などのクライアントサイド攻撃を検出するために、クライアントVLANにもデコイを配置できます。さらに、攻撃者が初期足掛かりとしてTomcat/SQLサーバーを悪用するような一般的な攻撃もデコイとして展開でき、攻撃者をおびき寄せて検出を可能にします。
DejaVu の大きな利点の1つ - 単一のプラットフォームを使用して異なるVLAN全体にデコイを展開し、それらを管理・監視できます。
以下は、DejaVu プラットフォームを使用して検出できる攻撃ベクトルの例です:
(攻撃) : ポートスキャン/列挙
(防御) : ネットワーク全体に配置された偽サービス
(攻撃) : パスワードスプレー/ブルートフォース攻撃
(防御) : 複数の一般的なサービスを展開し、2つ以上のデコイへの試行はパスワードスプレーの試行の可能性
(攻撃) : 攻撃者が低い果実を狙う - Tomcat/MSSQL/Jenkins
(防御) : 攻撃者が初期足掛かりとして探す一般的なプラットフォームを展開
(攻撃) : Responsder/ LLMNR ポイズニング
(防御) : MITM攻撃を検出するNBNSクライアント側デコイ
(攻撃) : Bloodhound/類似ツールによる攻撃経路の特定
(防御) : DNSレコードの操作と偽サーバー
(攻撃) : 横移動 - Pass the Hash
(防御) : 偽セッションとメモリ資格情報トークンの注入
(攻撃) : Kerberoast攻撃
(防御) : Kerberoastingサービスアカウントのハニートークン
(攻撃) : データの外部流出
(防御) : 外部流出を検出するハニーファイル
サーバーデコイ
クライアントデコイ
ブレッドクラム
