AutoResponder

Carbon Black Response 環境内の脅威を追跡するためのIRツール

これは何ですか？

AutoResponderは、Carbon Black Responseの優れた機能を活用して、IT/システム/ネットワークチームにあまり煩わされることなく、インシデント対応タスクを実行するためのツールです。

何ができますか？

誰のためのものですか？

どのように？

Carbon Black Responseに詳しくない方のために説明すると、それは独自のユニークで素晴らしい方法でインシデント対応ケースにソリューションを提供する、非常に素晴らしい製品です。Carbon Black ResponseにはPython API統合があり、人々がタスクを自動化するのに役立ち、多くの時間を節約できます。したがって、このプロジェクトで見られるものはすべて、Python APIの魔法にすぎません。それ以上でもそれ以下でもありません。

しかしなぜ...？

過去数ヶ月間、私たちのチームは多くのインシデント対応ケースに対処しなければなりませんでした。私たちはそれを完璧に乗り切りましたが、チームが顧客のIT/システム/ネットワークチームとのコミュニケーションに苦労しており、一度のファイル検索で数週間かかってしまうことに気づきました。私たちはCarbon Blackのインシデント対応パートナーであり、ほとんどすべての関与ケースでCarbon Black Responseを多用しているため、他の人からの最小限の助けで非常に大きなタスクを非常に短時間で完了できるツールをチームのために書くことにしました。

何がそんなに特別なの？他にもツールや人がいるじゃないか

ごもっともです。さて、何百ものエンドポイントが侵害され、攻撃者がすべてのエンドポイントに永続性を確立し、大量のファイルをドロップしたシナリオを想像してみてください。そしてなんという偶然か、ITチーム全員が休暇に出かけ、オフィスにはインシデントに対処する人が誰も残っていません。さらに、ドメイン管理者はキーボードのキーを押すたびに書類を提出しようとしており、侵害されたシステム上の脅威を特定して排除する能力を奪っています。頑張ってください！（ちなみに実話です）

使い方

コードはPython3で書かれているので、3.4以降のバージョンで問題なく動作します。

1. zipアーカイブをダウンロードするか、git cloneを実行してください
2. 必要なモジュールをpip3 install -r requirements.txtでインストールしてください
3. Carbon Black APIを設定してください => https://cbapi.readthedocs.io/en/latest/
4. 実行しよう！

THORスキャン

バイナリリポジトリをTHORでスキャンするには、以下の手順が必要です。

1. thor linuxパッケージを入手してください
2. 有効なライセンスを追加してください（トライアルライセンスはサポートされていません）
3. スキャンしたいCBRサーバーにTHORディレクトリをアップロードしてください（シングル環境ではMaster、クラスター環境ではMinion）
4. run-thorモジュールを実行してください

特別な感謝

マルチスレッドモジュールの作成を手伝ってくれた https://twitter.com/harunglec に感謝します。

CBRによって収集された実行可能ファイルを含むバイナリリポジトリ全体を、THOR APT Scannerでスキャンできます。 https://twitter.com/thor_scanner

P.S. (追記)

これは単なるPythonコードです。必要に応じて自由に変更してください。問題があれば => https://github.com/lawiet47/autoresponder/issues まで報告してください。

現在のモジュールはすべて、OS環境がWindowsであるセンサーでテストされています。しかし、Linuxでも試してみることができます。