BounceBack

↕️🤫 レッドチーム運用のセキュリティのためのステルスリダイレクター。

概要

BounceBack は、C2/フィッシングなどのインフラをブルーチーム、サンドボックス、スキャナーなどから隠すための、WAF 機能を備えた強力で高度にカスタマイズ可能なリバースプロキシです。リアルタイムのトラフィック分析を様々なフィルターとその組み合わせを通じて行い、不正な訪問者からツールを隠します。

このツールは、ブロックされた単語、ブロックおよび許可されたIPアドレスの事前設定済みリストとともに配布されます。

ツールの使用方法の詳細については、プロジェクトのWikiを参照してください。

スポンサー

_{ここに広告を掲載したいですか？連絡先}

機能

• 高度に設定可能でカスタマイズ可能なフィルターパイプラインとブールベースのルール連結により、最も鋭いブルーチームの目からインフラを隠すことができます。
• 簡単に拡張可能なプロジェクト構造で、誰でも独自のC2向けルールを追加できます。
• ITセキュリティベンダーに関連することが知られているIPv4プールと範囲の大規模なブラックリストが統合・キュレーションされており、IPフィルターと組み合わせて、それらがインフラを使用/攻撃するのを防ぎます。
• Malleable C2プロファイルパーサーがインバウンドHTTP(s)トラフィックをMalleableの設定に対して検証し、無効なパケットを拒否します。
• ドメインフロンティングのサポートが標準で備わっており、インフラをさらに隠すことができます。
• リクエストのIPv4アドレスをIPジオロケーション/逆引きデータと照合し、指定された正規表現と比較して、許可された企業、国、都市、ドメインなどの外部からのピアを除外できます。
• すべての受信リクエストを任意の期間許可/拒否できるため、勤務時間フィルターを設定できます。
• 単一のBounceBackインスタンスで、異なるフィルターパイプラインを持つ複数のプロキシをサポートします。
• 詳細なログ機構により、すべての受信リクエストとイベントを追跡し、ブルーチームの行動分析やデバッグに役立ちます。

ルール

ルールの主な考え方は、BounceBackがトラフィックをどのようにマッチングするかです。現在、ツールは以下のルールタイプをサポートしています:

• ブールベース（and、or、not）ルールの組み合わせ
• IPおよびサブネット分析
• IPジオロケーションフィールドの検査
• 逆引きドメインプローブ
• 生パケット正規表現マッチング
• Malleable C2プロファイルのトラフィック検証
• 勤務時間（または非勤務時間）ルール

カスタムルールは簡単に追加できます。RuleBaseCreatorまたはRuleWrapperCreatorを登録するだけです。既存のRuleBaseCreatorsおよびRuleWrapperCreatorsを参照してください。

ルール設定ページはこちらにあります。

プロキシ

プロキシセクションでは、トラフィックをリッスンおよびプロキシする場所、使用するプロトコル、トラフィックフィルタリングのためにルールをどのように連鎖させるかを設定します。現時点では、BounceBackは以下のプロトコルをサポートしています:

• Webインフラ向けのHTTP(s)
• DNSトンネル向けのDNS
• カスタムプロトコル向けのRaw TCP（TLSあり/なし）およびUDP

カスタムプロトコルは簡単に追加できます。マネージャーに新しいタイプを登録するだけです。プロキシの実装例はこちらにあります。

プロキシ設定ページはこちらにあります。

インストール

リリースページから最新リリースをダウンロードし、解凍して設定ファイルを編集するだけで使用できます。

ソースからビルドする場合は、クローンして（GitLFSをお忘れなく）、goreleaserをインストールし、以下を実行します:

goreleaser release --clean --snapshot

使い方

1. （オプション） banned_ips.txtリストを更新:

   root@kitploit:~

   bash scripts/collect_banned_ips.sh > data/banned_ips.txt
   

2. 必要に応じて config.yml を変更します。トラフィックをマッチングするためのルール、ルールを使用してトラフィックを分析するためのプロキシ、および詳細なルール設定のためのグローバル設定を設定します。

3. BounceBackを実行:

   root@kitploit:~

   ./bounceback
   

   BounceBack の使用方法:
   -c, --config string YAML形式の設定ファイルへのパス（デフォルト: "config.yml"）
   -l, --log string ログファイルへのパス（デフォルト: "bounceback.log"）
   -v, --verbose count 詳細ログ（0 = info、1 = debug、2+ = trace）