企業ネットワークを攻撃者から防御することは、ブルーチームにとって依然として困難な課題です。予防策は限界に達しており、検知・対応能力の向上が正しい方向への一歩であることが証明されています。しかし、攻撃者の振る舞いによって生成されるテレメトリがなければ、新たな検知機能の構築や既存の検知機能のテストは制限されたものになります。
PurpleSharp は C# で書かれたオープンソースの敵対シミュレーションツールであり、Windows Active Directory 環境内で攻撃者のテクニックを実行します。生成されたテレメトリは、検知エンジニアリングプログラムの有効性を測定し改善するために活用できます。PurpleSharp は MITRE ATT&CK フレームワークを活用し、実行、永続化、権限昇格、資格情報アクセス、横方向移動など、攻撃ライフサイクル全体にわたるさまざまなテクニックを実行します。現在、47 のユニークな ATT&CK テクニックをサポートしています。
PurpleSharp は 2019 年 9 月の Derbycon IX で初めて発表されました。
更新版は BlackHat Arsenal 2020 の一環として 2020 年 8 月 6 日にリリースされました。最新版は BlackHat Arsenal 2021 の一環として 2021 年 8 月にリリースされました。
PurpleSharp の動作を確認するには、デモのセクションをご覧ください。
PurpleSharp でテクニックをシミュレートして生成された攻撃テレメトリは、研究・検知チームが以下を行うのに役立ちます。
PurpleSharp は Visual Studio Community 2019 または 2020 でビルドできます。
ダウンロード から、TTP シミュレーションを実行するためにすぐに使用できる最新リリースのバイナリを入手してください。
.NET Framework 4.5 が必要です。
PurpleSharp アセンブリがあれば、攻撃シミュレーションをすぐに開始できます。
シミュレーションのアイデアについては、Active Directory Purple Team Playbook をチェックしてください。これは PurpleSharp 用のすぐに使える JSON プレイブックのリポジトリです。
コミュニティは優れたアイデアとフィードバックの源です。皆さんありがとう。
このプロジェクトは BSD 3-Clause ライセンスの下でライセンスされています。詳細は LICENSE ファイルを参照してください。
