RE:TERNAL

---

---

注: まだ開発中です。テスト目的のみで使用し、インターフェースを公開しないでください！現在のcomposeファイルはまだ動作しません。自分のやっていることを理解している場合のみ試してください。

RE:TERNAL は、サードパーティの C2 フレームワークを管理するための集中型パープルチームオーケストレーションサービスです。エンドポイントにエージェントをインストールして、ブルーチームの能力をテストするために、さまざまな既知のレッドチーム手法を実行します。シミュレーションは MITRE ATT&CK フレームワークにマッピングされます。このリポジトリには、Docker を介して reternal プラットフォームをセットアップするための compose ファイルが含まれています。

最新バージョンを実行している公開プレビューが https://reternal.d3vzer0.com で利用可能です（Github ログインが必要）。キャンペーンの実行/保存や C2 モジュールとの対話は無効になっています（明らかな理由により ;)）。

Reternal コンポーネント

インストールと設定

このリポジトリには、Reternal のローカルまたはリモートでのインストールと設定を自動化するための Ansible デプロイプレイブックが含まれています。ガイドはリポジトリの Wiki (https://github.com/d3vzer0/reternal-quickstart/wiki) にあります。

開発者と連絡先

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

名前の由来は？

このプロジェクトは何度も再開発されており、おそらく本当に完成することはないでしょう。そのため RE（再）と Ternal（永遠）です。

特別謝辞

• Rabobank DeTTECT - ログカバレッジを MITRE ATT&CK に対してマッピングするためのフレームワーク。内部のカバレッジ評価とシナリオ提案の基礎として使用: https://github.com/rabobank-cdc/DeTTECT
• MITRE ATT&CK - シミュレーションのマッピングに使用されるフレームワーク: https://attack.mitre.org/wiki/Main_Page
• Uber Metta - Metta のテンプレートを使用して MITRE テクニックを purple_action 形式に小さな（オプション）調整を加えて利用: https://github.com/uber-common/metta
• https://github.com/olafhartong/sysmon-modular - Sysmon に基づく悪意のあるイベントをハンティングするためのすぐに使えるクエリを含む Splunk アプリ
• https://www.splunksecurityessentials.com/ - 現在の検出能力を拡張するために必須の Splunk アプリ。このアプリは利用可能なソースタイプを分析し、ハンティングと検出のための Splunk の全体的な使用を改善するための適切なヒント/トリックを提供します。

例とスクリーンショット

すべての機能は Wiki の Welcome ページ (https://github.com/d3vzer0/reternal-quickstart/wiki) に文書化されます。以下は主要コンポーネントのいくつかの例です。

アクター / テクニックマッピング

Reternal は利用可能なコマンドとテクニックをアクターに自動的にマッピングします。アクターがよく使用するすべてのテクニックをタスクセットに直接追加できます。

レシピ / グラフビルダー

エージェント上で実行するタスクをスケジュールすることをグラフと呼びます。グラフに手動コマンドを追加したり、既存のマッピングされたテクニックやアクター TTP のいずれかを選択できます。ドラッグアンドドロップでグラフ内のタスクの順序を変更できます。

C2 インタラクション

Reternal はミドルウェアとして機能し、外部 C2 フレームワークと対話します。以下に、Reternal が外部リスナーを管理し、ステージャーを生成する方法の例を示します。

カバレッジ評価（Rabo DeTTECT ベース）

利用可能なデータソースを Splunk 環境と自動的に同期するか、手動でログソースを追加します。Reternal はカバレッジ評価に基づいて実行する特定のキャンペーンを提案します。

すべての ATT&CK テクニックと比較したカバレッジの概要:

統合ハント

さらに、シミュレーションを自動的に検証するための Splunk クエリのリストが含まれています。近日中に（tm）、スケジュールされたキャンペーンが自動的に関連クエリを実行し、発見事項（攻撃が実行された時刻と検出時刻など）を含む詳細レポートを提示します。

キャンペーン状態とダッシュボード

メインダッシュボードには、実行中のキャンペーンの状態と、データソースとテクニックの予想カバレッジが表示されます。