cisagov/redeyeRedEyeは、Red TeamおよびBlue Teamの運用を支援する視覚的分析ツールです。
この GitHub リポジトリは現在アクティブに開発されていません。コミュニティからの Issue や Pull Request はバグ修正についてのみ検討しますが、新機能の追加は考慮しません。
RedEye は、CISA と DOE の Pacific Northwest National Laboratory によって開発されたオープンソースの分析ツールで、Red Teams がコマンド＆コントロール活動の可視化と報告を行うのを支援します。このツールにより、オペレーターは複雑なデータを評価・表示し、緩和戦略を評価し、レッドチーム評価に対応した効果的な意思決定を可能にします。このツールは Cobalt Strike などのログを解析し、データをわかりやすい形式で表示します。ユーザーはツール内に表示されたアクティビティにタグを付け、コメントを追加できます。オペレーターは RedEye のプレゼンテーションモードを使用して、関係者に調査結果やワークフローを提示できます。
RedEye はオペレーターが以下のことを効率的に行うのに役立ちます：
| Red Team | Blue Team |
|---|---|
 |  |
./RedEye --redTeam --password <your_password>
./RedEye # Or simplify double-click the "RedEye" executable
MacOS の問題 - RedEye を初めて実行する際、「未確認」エラーが表示される場合があります。「システム環境設定」 > 「セキュリティとプライバシー」 > 「一般」に移動し、「このまま開く」をクリックする必要があります。詳細は Apple サポートページ を参照してください。
RedEye には、Red Teaming プロセスの 2 つの段階をカバーする 2 つのモードがあります。Red Team モード では、C2 データのインポート、インポートしたデータの編集、コメントやプレゼンテーションの作成が可能です。キャンペーンデータをキュレーションして注釈を付けた後、Red Team はキャンペーンをスタンドアロンの .redeye ファイルとしてエクスポートし、Blue Team に引き渡すことで報告と修復を行うことができます。Blue Team モード は、Red Team がエクスポートしたキュレーションデータを表示するための簡略化された読み取り専用モードで RedEye を実行します。
注：Red Team モードと Blue Team モードは、同じ RedEye アプリケーションバイナリから起動できます。
ダウンロードしたバイナリは 2 つの部分から構成されています：
RedEye application binaryparsers folder containing parser binaries (e.g. cobalt-strike-parser Cobalt Strike ログパーサーバイナリ)Red Team モードで RedEye を実行するには 3 つのオプションがあります：
--redTeam とパスワードオプションを指定します：
./RedEye --redTeam --password <your_password>
docker-compose.yml の環境変数を更新docker-compose -f docker-compose.yml up -d redeye-core
Blue Team モードは、Red Team によってキュレーション、注釈付け、エクスポートされたデータを表示するための簡略化された読み取り専用 UI です。このモードはデフォルトで実行され、Blue Team の起動をより簡単にします。
Blue Team バージョンは、'RedEye' アプリケーションバイナリをダブルクリックして実行できます。RedEye は http://127.0.0.1:4000（デフォルト）で実行され、自動的にデフォルトブラウザを開きます。
campaigns フォルダが RedEye アプリケーションと同じディレクトリにある場合、RedEye はその中の .redeye キャンペーンファイルをインポートしようとします。キャンペーンファイルは Red Team モードでエクスポートできます。
Blue Team 用のバージョンを準備するには、次の 2 つの手順を実行します：
RedEye アプリケーションバイナリを空のフォルダにコピーします。campaigns フォルダを作成し、送信したい .redeye キャンペーンファイルをその中に配置します。Folder/
RedEye
campaigns/
Campaign-01.redeye
Campaign-02.redeye
.redeye ファイルは、Blue Team モードで「+ キャンペーンを追加」ダイアログからアップロードすることもできます。
このリポジトリにはダウンロード可能なサンプルデータセットがあります。これらは ./applications/redeye-e2e/src/fixtures フォルダにあります。
github リポジトリの 1 つのフォルダだけをダウンロードするには、download-directory.github.io のようなツールを使用するとよいでしょう。
オプションを表示するには ./Redeye -h と入力します
-d, --developmentMode [boolean] put the database and server in development mode
-r, --redTeam [boolean] run the server in red team mode
--port [number] the port the server should be exposed at
-p, --password [string] the password for user authentication
--parsers [string...] A list of parsers to use or a flag to use all parsers in the parsers folder
-t, --childProcesses [number] max # of child processes the parser can use
-h, --help display help for command
RedEye バイナリと同じ場所にある config.json ファイルでサーバーパラメータを設定することもできます
{
"password": "937038570",
"redTeam": true,
"parsers": ["cobalt-strike-parser", "brute-ratel-parser"] // or true/false
}
npm install -g yarnyarn install // すべてのパッケージをインストールyarn release:all で Linux、macOS、Windows 用のバイナリをビルドyarn release:(mac|windows|linux) 。Node.js >= v16 をインストール yarn を npm 経由でグローバルにインストール
npm install -g yarn
パッケージの依存関係をインストール
yarn install
開発モードでプロジェクトを実行
yarn start
サーバーとクライアントは 2 つの別々のターミナルで実行することを推奨します
yarn start:client
...別のターミナルで
yarn start:server
Linux、macOS、Windows 用のバイナリをビルドするには
yarn release:all
特定のプラットフォーム用にビルドするには、all をプラットフォーム名に置き換えます
yarn release:(mac|windows|linux)
