DARKSURGEON

CircleCI Status:

DARKSURGEONについて

DARKSURGEONは、インシデント対応、デジタルフォレンジック、マルウェア解析、ネットワーク防御を強化するためのWindowsパッカープロジェクトです。

DARKSURGEONには次の3つの目標があります。

• ツール、スクリプト、ユーティリティがプリインストールされたWindows 10環境を提供することで、インシデント対応、デジタルフォレンジック、マルウェア解析、ネットワーク防御を加速します。
• 防御側がPackerとVagrantを使用して独自のプログラムによるWindowsイメージをカスタマイズし、デプロイするためのフレームワークを提供します。
• 潜在的なテレメトリ収集量を削減し、エラーレポートを最小限に抑え、Windows 10に適切なプライバシーと強化の基準を提供します。

これまでにパッカーを使用したことがない方のために、このプロジェクトの基本的な考え方を説明します。

生産的で安全かつプライベートなWindows仮想マシンを実現するために必要なすべてのツールを提供し、環境の調整に費やす時間を減らし、悪者との戦いに集中できるようにします。

これはアルファプロジェクトです。継続的な開発、アップデート、パッケージの破損が発生する可能性があります。

開発の原則

DARKSURGEONは、いくつかの重要な開発原則に基づいています。

• モジュール性が鍵です。インストールおよび設定プロセスの各コンポーネントはモジュール化されている必要があります。これにより、個人が最も柔軟な方法でパッカーイメージを調整できます。
• ビルドはアトミックでなければなりません。パッカービルドは、すべての設定およびインストールタスクをエラーなく完了するか、失敗するかのどちらかでなければなりません。ツールが欠落したパッカーイメージは失敗シナリオです。
• 初期状態で強化されています。調査ワークフローを妨げない範囲で、プロアクティブな強化とセキュリティ制御に関連するすべての設定を有効にする必要があります。DARKSURGEONのセキュリティに関する詳細は、この後説明します。
• 初期状態で計装されています。調査ワークフローを妨げない範囲で、Microsoft Sysmon、Windowsイベントログ、osqueryが、追加設定なしでホストの動作に関する詳細なテレメトリを提供します。
• 初期状態でプライバシーが保護されています。調査ワークフローを妨げない範囲で、プライバシー、Windowsテレメトリ、エラーレポートに関連するすべての設定は収集を最小限に抑える必要があります。

強化

DARKSURGEONは初期状態で強化されており、HighまたはLowのセキュリティモードを有効にするスクリプトが付属しています。

DARKSURGEONのすべてのデフォルトインストールでは、以下のセキュリティ機能が有効になっています。

• Windows Secure Bootが有効です。
• Windowsイベントログ監査が有効です。(Palantir Windows Event Forwarding Guidance)
• Windows PowerShell監査が有効です。(Palantir Windows Event Forwarding Guidance)
• Windows 10のプライバシーとテレメトリは最小限の設定に低減されています。(Microsoft Guidance)
• Sysinternals Sysmonがインストールおよび設定されています。(SwiftonSecurity Public Ruleset)
• LLMNRが無効です。
• NBTが無効です。
• WPADが削除されています。
• PowerShell v2が削除されています。
• SMB v1が削除されています。
• 悪用されやすいファイル拡張子のアプリケーションハンドラがnotepad.exeに変更されています。

さらに、ユーザーは適切なスクリプトを使用してLowまたはHighのセキュリティモードを指定できます。デフォルト設定では、Lowセキュリティモードでイメージがビルドされます。

Lowセキュリティモードは主に、リバースエンジニアリング、マルウェア解析、またはVBSセキュリティ制御をサポートできないシステムを対象とした仮想マシンに使用されます。

Lowセキュリティモードでは、以下の強化機能が設定されます。

• Windows Defenderアンチウイルスのリアルタイムスキャンが無効です。
• Windows Defender SmartScreenが無効です。
• Windows Defender Credential Guardが無効です。
• Windows Defender Exploit Guardが無効です。
• Windows Defender Exploit Guard Attack Surface Reduction (ASR) が無効です。
• Windows Defender Application Guardが無効です。
• Windows Defender Application Guardは分離を強制しません。

注: Highセキュリティモードはまだ開発中です。

Highセキュリティモードは主に、機密性の高いシステム（例: 特権アクセスワークステーション）の実運用デプロイに使用され、追加の調整や設定が必要になる場合があります。

Highセキュリティモードでは、以下の強化機能が設定されます。

• Windows Defenderアンチウイルスのリアルタイムスキャンが有効です。
• Windows Defender SmartScreenが有効で、すべてのトラフィックに適用されます。
• Windows Defender Credential Guardが有効です。
• Windows Defender Exploit Guardが有効です。
• Windows Defender Exploit Guard Attack Surface Reduction (ASR) が有効です。
• Windows Defender Application Guardが有効です。
• Windows Defender Application Guardは分離を強制します。

テレメトリ

未知のバイナリを分析する場合でも、機密プロジェクトに取り組む場合でも、エンドポイントテレメトリは検出および対応作業を強化します。DARKSURGEONには、分析に利用可能な以下のテレメトリソースがプリインストールされています。

• Windowsイベントログ監査が有効です。(Palantir Windows Event Forwarding Guidance)
• Windows PowerShell監査が有効です。(Palantir Windows Event Forwarding Guidance)
• Sysinternals Sysmonがインストールおよび設定されています。(SwiftonSecurity Ruleset)

プライバシー

運用環境にはネットワークで最も機密性の高いデータが含まれており、それを外部の目から保護することが重要です。DARKSURGEONは、ワークフローを妨げることなくプライバシーを最大化するために、以下の戦略を実装しています。

• Windows 10のテレメトリ設定は、収集を最小限に抑えるように構成されています。
• Cortana、診断、追跡、その他のサービスは無効になっています。
• Windowsエラーレポート（WER）は無効です。
• Windowsタイムライン、共有クリップボード、デバイスハンドオフ、その他のデフォルトで同期するアプリケーションは無効または無力化されています。
• テレメトリとデータ収集を削減するためのMicrosoftガイダンスが実装されています。

パッケージ

DARKSURGEONには、防御側の作業を容易にするためのツール、スクリプト、バイナリが標準で装備されています。

Android分析:

Android解析とリバースエンジニアリングに重点を置いたツール、スクリプト、バイナリ。

• APKTool (FLARE)

ブルーチーム:

ブルーチーム、ネットワーク防御、アラート/検出開発に重点を置いたツール、スクリプト、バイナリ。

• ACE
• Bloodhound / Sharphound
• CimSweep
• Dumpsterfire
• EndGame Red Team Automation (RTA)
• Kansa
• Posh-Git
• Invoke-ATTACKAPI
• LOLBAS (Living Off the Land Binaries And Scripts)
• OSX Collector
• Posh-SecMod
• Posh-Sysmon
• PowerForensics
• PowerSploit
• Practical Malware Analysis Labs (FLARE)
• Revoke-Obfuscation
• Yara (FLARE)

デバッガ:

バイナリアーティファクトのデバッグのためのツール、スクリプト、バイナリ。

• Ollydbg (FLARE)
• OllyDump (FLARE)
• OllyDumpEx (FLARE)
• Ollydbg2 (FLARE)
• OllyDump2Ex (FLARE)
• x64dbg (FLARE)
• Windbg (FLARE)

逆アセンブラ:

バイナリアーティファクトの逆アセンブルのためのツール、スクリプト、バイナリ。

• IDA Free Trial (FLARE)
• Binary Ninja Demo (FLARE)
• Radare2 (FLARE)

ドキュメント分析: ドキュメントの解析を実行するためのツール、スクリプト、バイナリ。

• OffVis (FLARE)
• OfficeMalScanner (FLARE)
• PDFId (FLARE)
• PDFParser (FLARE)
• PDFStreamDumper (FLARE)

DotNet分析:

DotNetアーティファクトの解析を実行するためのツール、スクリプト、バイナリ。

• DE4Dot (FLARE)
• DNSpy (FLARE)
• DotPeek (FLARE)
• ILSpy (FLARE)

Flash分析:

Flashアーティファクトの解析を実行するためのツール、スクリプト、バイナリ。

• FFDec (FLARE)

フォレンジック分析:

アプリケーションおよびオペレーティングシステムのアーティファクトに対するフォレンジック分析を実行するためのツール、スクリプト、バイナリ。

• Amcache Parser
• AppCompatCache Parser
• IISGeolocate
• JLECmd
• LECmd
• JumpList Explorer
• PECmd
• Registry Explorer
• Regshot (FLARE)
• Shellbags Explorer
• Timeline Explorer
• TSK (The Sleuthkit)
• Volatility
• X-Ways Forensics Installer Manager (XWFIM)

Hexエディタ:

• FileInsight (FLARE)
• HxD (FLARE)
• 010 Editor (FLARE)

Java分析:

• JD-GUI (FLARE)
• Dex2JAR

ネットワーク分析:

• Burp Free
• FakeNet-NG (FLARE)
• Wireshark (FLARE)

PE分析:

• DIE (FLARE)
• EXEInfoPE (FLARE)
• Malware Analysis Pack (MAP) (FLARE)
• PEiD (FLARE)
• ExplorerSuite (CFF Explorer) (FLARE)
• PEStudio (FLARE)
• PEview (FLARE)
• Resource Hacker (FLARE)
• VirusTotal Uploader

PowerShellモジュール:

• Active Directory
• Azure Management
• Pester

Pythonライブラリ:

• Cryptography
• Hexdump
• OLETools
• LXML
• Pandas
• Passivetotal
• PEFile
• PyCryptodome
• Scapy
• Shodan
• Sigma
• Visual C++ for Python
• Vivisect
• WinAppDBG
• Yara-Python

レッドチーム:

• Grouper
• Inveigh
• Nmap
• Powershell Empire
• PowerupSQL
• PSAttack
• PSAttack Build Tool
• Responder

リモート管理:

• AWS Command Line (AWSCLI)
• OpenSSH
• Putty
• Remote Server Administration Tools (RSAT)

ユーティリティ:

• 1Password
• 7Zip
• Adobe Flash Player
• Adobe Reader
• API Monitor
• Bleachbit
• Boxstarter
• Bstrings
• Checksum
• Chocolatey
• Cmder
• Containers (Hyper-V)
• Curl
• Cyber Chef
• Docker
• DotNet 3.5
• DotNet 4
• Exiftool
• FLOSS (FLARE)
• Git
• GoLang
• Google Chrome
• GPG4Win
• Hashcalc
• Hashdeep
• Hasher
• Hashtab
• Hyper-V
• Irfanview
• Java JDK8
• Java JRE8
• JQ
• Jupyter
• Keepass
• Microsoft Edge
• Mozilla Firefox
• Mozilla Thunderbird
• Neo4j Community
• NodeJS
• Nuget
• Office365 ProPlus
• OpenVPN
• Osquery
• Python 2.7
• Qbittorrent
• RawCap
• Slack
• Sublime Text 3
• Sysinternals Suite
• Tor Browser
• UnixUtils
• UPX
• Visual C++ 2005
• Visual C++ 2008
• Visual C++ 2010
• Visual C++ 2012
• Visual C++ 2013
• Visual C++ 2015
• Visual C++ 2017
• Visual Studio Code
• Windows 10 SDK
• Windows Subsystem for Linux (WSL)
• Winlogbeat
• XorSearch
• XorStrings

Visual Basic分析:

• VBDecompiler

DARKSURGEONのビルド

ビルドプロセス

DARKSURGEONはHashiCorpのアプリケーションパッカーを使用してビルドされます。新しいインスタンスのDARKSURGEONのビルド時間は約2～3時間です。

1. パッカーはDARKSURGEON JSONファイルと選択したハイパーバイザ（例: Hyper-V、Virtualbox、VMWare）を使用して新しい仮想マシンを作成します。
2. answers.isoファイルがWindows ISOとともにDARKSURGEON VM内にマウントされます。answers.isoファイルには、Windowsのタッチレスインストールに必要なunattend.xmlと、Windows Remote Management（winrm）を構成するPowerShellスクリプトが含まれています。
3. パッカーはWinRMを使用してDARKSURGEON VMに接続し、helper-scriptsおよびconfiguration-filesディレクトリ内のすべてのファイルをホストにコピーします。
4. パッカーは構成された各PowerShellスクリプトを順次インストールし、必要に応じて再起動を実行します。
5. 完了すると、パッカーはsysprepを実行し、仮想マシンをシャットダウンし、vagrant boxファイルを作成します。JSONファイルのpost-processorsセクションで追加の出力を指定することもできます。

セットアップ

注: このアルファリリースでは、Hyper-Vのみがサポートされているハイパーバイザです。VirtualBoxおよびVMWareのサポートは今後追加予定です。

1. ホストにpacker、vagrant、および希望するハイパーバイザをインストールします。
2. リポジトリの内容をホストにダウンロードします。
3. Windows 10 Enterprise Evaluation ISO（1803）をダウンロードします。
4. ISOファイルをローカルのDARKSURGEONリポジトリに移動します。
5. DARKSURGEON.jsonをISO SHA1ハッシュとファイル名で更新します。
6. （オプション）PowerShellスクリプトNew-DARKSURGEONISO.ps1を実行して、新しいanswers.isoファイルを生成します。リポジトリにanswers ISOファイルが含まれていますが、信頼できない場合やunattendファイルを変更したい場合は再ビルドできます: powershell.exe New-DARKSURGEONISO.ps1
7. パッカーを使用してレシピをビルドします: packer build -only=[hyperv-iso|vmware|virtualbox] .\DARKSURGEON.json

DARKSURGEONの設定

DARKSURGEONはモジュール式で簡単に設定できるように設計されています。DARKSURGEON.jsonファイルにサンプル設定が用意されていますが、基盤となるスクリプトを追加、削除、調整できます。

カスタムCAを追加する必要がありますか？IDAのライセンスファイルを追加する必要がありますか？問題ありません。configuration-filesディレクトリに必要なファイルを置けば、ホストにコピーされます。

カスタムパッケージをインストールしたいですか？特定のOS調整が必要ですか？心配いりません。configuration-scriptsディレクトリに新しいPowerShellスクリプトを作成（または既存のものを変更）し、パッカーJSONファイルのビルド手順として追加するだけです。

DARKSURGEONの使用

注: このアルファリリースでは、Hyper-Vのみがサポートされているハイパーバイザです。VirtualBoxおよびVMWareのサポートは今後追加予定です。

DARKSURGEONが正常にビルドされると、vagrant boxファイルが出力されます。このboxファイルには仮想マシンイメージとvagrantメタデータが含まれており、必要に応じて仮想マシンを迅速に起動できます。

1. ホストにvagrantと希望するハイパーバイザをインストールします。
2. DARKSURGEONリポジトリ（またはDARKSURGEON boxファイルを保存した場所）に移動します。
3. vagrant upを実行します: vagrant up

Vagrantはboxファイルから仮想マシンイメージを抽出し、メタデータを読み取り、新しいVMを作成します。このVMを停止して新しいものを取得したいですか？

簡単です。次のように実行します: vagrant destroy && vagrant up

DARKSURGEON仮想マシンが実行されると、次の2つのローカルアカウントのいずれかを使用してログインできます。

注: これらはデフォルトの資格情報を持つデフォルトのアカウントです。パッカービルドで資格情報を変更することを検討してください。

管理者アカウント:

ユーザー名: Darksurgeon

パスワード: darksurgeon

ローカルユーザーアカウント:

ユーザー名: Unprivileged

パスワード: unprivileged

vagrantを使用したくない場合は、VMイメージを手動でインポートするか、パッカーが提供する他の多くのポストプロセッサオプションを確認できます。

DARKSURGEONのダウンロード

DARKSURGEONのビルドプロセスを省略して、作成済みのboxファイルを信頼する場合は、こちらからダウンロードできます。

貢献

貢献、修正、改善は、GitHubのIssueまたはプルリクエストとしてこのプロジェクトに直接提出できます。ツールはケースバイケースでレビューされ、追加されます。

よくある質問

なぜHyper-Vが推奨されるハイパーバイザなのですか？

Windows Defender Device GuardとVirtualization Based Securityの価値を強く信じており、これらは最適な効果を得るためにHyper-Vの使用を必要とします。その結果、他のハイパーバイザはホストマシンでは推奨されません。他の主要なハイパーバイザにも対応するよう最善を尽くしますが、すべてのユーザーにHyper-Vの使用を推奨します。

Chocolateyパッケージエラーが発生すると、パッカービルド全体が失敗するのはなぜですか？

これは、期待されるすべてのパッケージが最終的なパッカービルドに確実に含まれるようにするために取られた設計上の判断です。この判断の利点は、最終製品で期待されるすべてのツールが利用可能になることを保証できることです。欠点は、パイプラインに追加の複雑さと脆弱性が挿入され、一時的なエラーやChocolateyエラーがビルドの失敗を引き起こす可能性があることです。

この機能を無視したい場合は、基盤となるスクリプトを変更してパッケージインストール時のエラーを無視することができます。

このプロジェクトはChocolatey Professional/Business/Consultantライセンスをサポートしていますか？

はい。パッカービルドを実行する際に、ライセンスファイル（chocolatey.license.xmlという名前）をconfiguration-filesディレクトリに追加すると、Set-ChocolateySettings.ps1スクリプトによって自動的にインポートされます。Chocolateyライセンスの使用がそのエンドユーザー使用許諾契約に準拠していることを確認してください。

なぜビルド関数が何十もの個別のPowerShellスクリプトに分割されているのですか？

柔軟性が重要です。これらのスクリプトの一部または全部を任意の順序で使用する（または使用しない）ことを選択できます。個別のファイルを使用することで、プロジェクトの複雑さは増しますが、プロジェクトを問題なく完全にカスタマイズできることが保証されます。

ビルドをデバッグしたいのですが、どうすればよいですか？

プロビジョナー処理の目的のポイントにSet-Breakpoint.ps1スクリプトを追加します。これにより、スクリプトが完了するまでパッカービルドが4時間停止します。

トラブルシューティング

パッカービルドプロセスが開始されず、UEFI画面で停止します。

これはおそらく、エミュレートされたキー押下により、マウントされたWindows ISOからイメージが起動しないタイミングの問題です。VMを再起動し、ビルドプロセスが開始されるまで何度か任意のボタンを押してください。

パッカーがビルド中にタイムアウトしました。エラーは表示されませんでした。

ダウンロードおよびインストールされるパッケージのサイズが大きいため、デフォルトのパッカービルド時間制限を超えた可能性があります。

VMは実行中ですが、パッカーがWinRM経由で接続できないようです。

ゲストに接続して以下を確認してください。

• WinRMがパッカーホストからアクセス可能であること。（Test-NetConnection -ComputerName <Packer IP Address> -Port 5985）
• WinRMがゲストのファイアウォールで許可されていること。

Chocolateyでアンチウイルス、チェックサム、その他の問題が頻繁に発生します。なぜですか？

残念ながら、これらのパッケージは目標が変動することがあります。新しいアップデートにより、Chocolateyパッケージ内の静的チェックサムが正しくなくなる場合や、アンチウイルスが誤ってバイナリをフラグする場合などがあります。これらのエラーが発生しないようにグローバルなChocolateyオプションを指定することもできますが、基盤となるChocolateyパッケージの問題として提出されたバグレポートには最善を尽くして対応します。

ライセンスの承諾

このプロジェクトのユーザーは、ダウンロード/インストールされた各パッケージのライセンス条項を確認、承諾、および遵守する必要があります。特定のソフトウェアコンポーネントのライセンス条項に従いたくない場合は、そのパッケージをパッカービルドから削除するか、このプロジェクトを使用しないでください。

ライセンス

MIT License

Copyright (c) 2018

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

参考資料と謝辞

このプロジェクトは巨人の肩の上に立っており、各原作者の作業、貢献、インスピレーションに心から感謝いたします。

• Joef Fitzgerald氏によるWindowsパッカープロジェクトの先駆け
• FireEyeのFLAREチームによるFLAREVMプロジェクトのChocolateyパッケージとリポジトリの素晴らしい作業
• Chris Long氏によるDetectionLabとパッカーCIパイプラインの素晴らしい作業
• これを可能にしたすべての作者、Chocolateyパッケージメンテナ、ツールライターの皆様
• ついにこのプロジェクトをオープンソース化するよう促してくれた友人や同僚の皆様