magicsword-io/lolrmm脅威アクターに悪用されるRemote Monitoring and Managementツールの厳選カタログ。YAMLプロファイル、Sigma検知ルール、脅威ハンティングと防止のためのAPIアクセスを提供。
LOLRMM（Living Off the Land Remote Monitoring and Management）へようこそ。これは、脅威アクターによって悪用される可能性のあるリモート監視管理（RMM）ツールおよびリモートアクセスツールの厳選されたリストを提供する、コミュニティ主導のプロジェクトです。私たちの使命は、セキュリティ専門家がこれらのツールとその悪用の可能性について常に把握できるよう支援し、脅威ハンティング、検出、および防止ポリシーの作成に利用できるカタログをコミュニティに提供することです。
detections/ 配下に、カタログエントリから自動的に導出されたプロセスおよび DNS インジケーターを含むLOLRMM の使用を開始するには：
完全なカタログを JSON または CSV 形式で取得します（API キーは不要）：
# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json
# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv
# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv
# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json
完全な API ドキュメントと追加のフィードについては lolrmm.io/api/ を参照してください。
バグの報告や機能リクエストには GitHub issue tracker をご利用ください。
定期的にアップデートを確認し、プロジェクトに貢献することで LOLRMM コミュニティと関わり続けましょう。あなたの参加は、プロジェクトが最新の状態に保たれ、他の人々にとってさらに価値あるものとなる助けになります。
貢献したい場合は、以下の手順に従ってください：
より詳細な手順については、CONTRIBUTING.md ファイル（存在する場合）を参照してください。RMM ツール用の新しい YAML ファイルを作成するには、yaml ディレクトリにある提供された YAML テンプレートを使用してください。
バリデーションは、Details.InstallationPaths および
Artifacts.Disk[].File におけるオープンなワイルドカードルールを拒否します。*.exe、
*.dll、*.msi のような拡張子のみの実行可能ファイルパターンは、ベンダーディレクトリ内であっても安全ではありません。下流のポリシー
エンジンがファイル名のみを抽出する可能性があります。OpsBridgeAgent.exe や Example*.exe のように、
ツール固有のファイル名コンポーネントを含む検証済みのファイル名またはパターンを使用してください。
ランダム化された実行可能ファイル名の証拠は、拡張子のみのルールを追加するのではなく、説明に記載してください。
*.* やスコープなしの * のようなキャッチオールのファイルパターンも
バリデーションに失敗します。スコープ付きのディレクトリグロブや、
C:\ProgramData\Example\* や C:\ProgramData\Example\*.log のような非実行可能なアーティファクトは
引き続きサポートされます。
マージ前のチェックでは、パブリックサフィックスのドメインパターン、スコープなしの共有 ホスト/パブリッシャー、空のセレクター、無効なハッシュ、および一貫性のない証明書 証拠も拒否されます。生成ルールゲートは、一時ディレクトリでエクスポートを再ビルドし、 良性のコントロールをチェックし、ソースの正規化がドメイン 境界を保持し、プレースホルダーを除外することを検証します。安全性契約を参照してください。
共有ダウンロードホストは、Detection: false
および DetectionReason を指定することでネットワークアーティファクトに残すことができます。これらはドメイン CSV および Sigma エクスポートから除外されます。
同じ指定により、研究用の署名証拠が保持されます。検出に使用される共有パブリッシャーには、
正確な CodeSigning.FileNames と DetectionReason が必要です。コンシューマーはそのファイルスコープと署名 ID を AND で結合する必要があります。
生のカタログ JSON は、コンテキスト証拠とこれらのフィールドを保持します。ポリシーのコンシューマーは、
記録されたすべてのアーティファクトをブロッキングルールとして扱うのではなく、これらを尊重する必要があります。
PR を開く前に、同じチェックをローカルで実行してください：
poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py
LOLRMM は、RMM ツールに関連する潜在的な脅威を効果的に検出するための Sigma 検出ルールを提供しています。これらのルールの詳細を確認するには、detections/sigma/ ディレクトリに移動してください。
Happy hunting! 🕵️♂️
ウェブサイトは現在 Astro を使用しています。リポジトリのルートから:
python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev
http://localhost:4321 にアクセスしてください。dev/build コマンドは /yaml からデータと検出エクスポートを自動的に再生成します。静的ウェブサイトをビルドして検証するには:
npm run check
npm run build
npx playwright install chromium
npm test
出力は website/dist/ に書き込まれます。データルート、チャートの方法論、分析設定、デプロイの詳細については website/README.md を参照してください。
世界中の組織にとって、より安全でセキュアなデジタル環境を構築するという私たちの取り組みにご参加ください。LOLRMM があれば、進化し続けるサイバー環境において RMM ツールに関連する潜在的なリスクを理解し、対処するための十分な体制が整います。
.github/workflows ディレクトリ内の GitHub ワークフローファイルは、継続的インテグレーション、継続的デリバリー、およびその他のプロジェクト保守活動のためのさまざまなタスクやプロセスを自動化します。
これらのワークフローファイルは GitHub Actions を活用し、コードのプッシュ、プルリクエスト、定期的な間隔といった特定のトリガーに基づいて定義済みのステップを実行します。
生成データワークフローは、リポジトリスコープの GitHub App を使用して
automation/generated-data PR をオープンまたはリフレッシュします。そのアプリ用に、リポジトリ変数
GENERATED_DATA_APP_CLIENT_ID と Actions シークレット
GENERATED_DATA_APP_PRIVATE_KEY を設定してください。そのインストールには、このリポジトリに対する Contents および
Pull requests の書き込み権限が必要です。
アプリトークンにより、生成データ PR が CI を自動的に開始できるようになります。これらの PR は引き続き
通常のレビューとブランチ保護を経由します。Pages は、変更が main に到達したときに、カタログデータを独立して新規にビルドします。