BlueHoundは、ブルーチームが実際に重要となるセキュリティ問題を特定するのに役立つオープンソースツールです。ユーザー権限、ネットワークアクセス、未修正の脆弱性に関する情報を組み合わせることで、攻撃者がネットワーク内部に侵入した場合に取る経路を明らかにします。 これはNeoDashのフォークであり、防御セキュリティ目的に適するように再設計されています。

BlueHoundを始めるには、導入ビデオ、ブログ記事、Nodes22カンファレンストークをご覧ください。

BlueHoundは、データを表、グラフ、棒グラフ、折れ線グラフ、マップなどで表示することをサポートしています。レポートを生成するCypherクエリを直接記述できるCypherエディタが含まれています。ダッシュボードをデータベースに保存し、他のユーザーと共有することもできます。

主な機能

1. 完全自動化: 収集、分析、レポート作成の全サイクルを基本的にボタン一つで実行できます。
2. コミュニティ駆動: BlueHoundの設定はエクスポート/インポート可能で、他のユーザーと共有できます。知識、ベストプラクティス、収集方法論などの共有がツール自体に組み込まれています。
3. 簡単なレポート作成: カスタマイズされたレポートを直感的に作成でき、コードを書く必要はありません。
4. 簡単なカスタマイズ: 任意のカスタム収集方法をBlueHoundに追加できます。ユーザーは独自のカスタムパラメータやグラフのカスタムアイコンも追加できます。

はじめに

ROST ISO

BlueHoundは、ROSTイメージの一部として使用できます。このイメージには必要なものがすべてプリインストールされています（BlueHound、Neo4j、BloodHound、サンプルデータセット）。
ROSTをロードするには、新しい仮想マシンを作成し、新しいWindowsホストと同様にISOからインストールします。

BlueHound バイナリ

既にNeo4jインスタンスが稼働している場合は、リリースページからプリコンパイルされたBlueHoundのバージョンをダウンロードできます。お使いのOSに適したzipファイルをダウンロードし、解凍してバイナリを実行してください。

BlueHoundの使用方法

1. Neo4jサーバーに接続します。
2. SharpHound、ShotHound、脆弱性スキャナーレポートパーサーをダウンロードします。
3. データインポートセクションを使用して、Neo4jデータベースにデータを収集・インポートします。
4. データがロードされたら、設定タブを使用して、クエリで使用される基本情報（例：Domain Adminsグループ、crown jewelsサーバー）を設定します。
5. 最後に、クエリセクションを使用してレポートを作成します。

BlueHound ハウツー

データ収集

データインポートツールセクションでは、ボタン一つでデータを収集できます。 デフォルトでは、BlueHoundにはSharpHound、ShotHound、および脆弱性スキャナースクリプトがプリインストールされています。 追加のツールを追加して、より多くのデータ収集が可能です。始めるには：

1. 地球アイコンを使用して関連ツールをダウンロードします。
2. 各ツールのパスと引数を設定します。
3. ツールを実行します。

組み込みツールは、結果を自動的にNeo4jインスタンスにアップロードするように設定できます。

クエリの実行と表示

チャートの結果を取得するには、更新アイコンを使用して特定のクエリを実行するか、クエリランナーセクションを使用してバッチでクエリを実行します。 結果はBlueHoundを閉じた後もキャッシュされ、再度実行して最新の結果を取得できます。
一部のチャートには、クエリを説明したり、追加情報へのリンクを提供する情報アイコンがあります。

クエリの追加と編集

チャートの右上にある設定アイコンを使用して、新規または既存のチャートのクエリを編集できます。 ここでは、パラメータ選択チャートで設定されたパラメータと、エッジフィルタリング文字列（以下のセクションを参照）を使用できます。

エッジフィルタリング

エッジフィルタリングセクションを使用すると、クエリ内で関連する文字列を使用するすべてのクエリに対して、特定のリレーションシップタイプをフィルタリングできます。 例えば、":FILTERED_EDGES"を使用すると、すべての選択フィルターでフィルタリングできます。
また、特定のカテゴリ（情報アイコン参照）でフィルタリングしたり、独自のカスタムエッジフィルターを定義することもできます。

設定のインポートとエクスポート

設定のエクスポートと設定のインポートセクションを使用して、ダッシュボードと設定をバックアップとして保存・ロードしたり、ユーザー間で共有して協力し、セキュリティコミュニティに洞察に富んだクエリを提供することができます。 ご安心ください。資格情報とデータはエクスポートされません。

注: データインポートツールの引数もエクスポートされるため、設定を共有する前に機密情報を削除してください。

設定

設定セクションでは、クエリ実行に関するグローバルな制限（最大クエリ時間と返される結果の上限）を設定できます。

技術情報

BlueHoundはNeoDashのフォークであり、Reactとuse-neo4jを使用して構築されています。 一部の可視化にはchartsを使用しています。 NeoDashは独自の可視化で拡張することもできます。プロジェクトリポジトリの開発者ガイドを確認してください。

開発者ガイド

npmを使用した実行とビルド

BlueHoundはReactで構築されています。ウェブアプリを実行するにはnpmのインストールが必要です。

BlueHoundをビルドするには、最新バージョンのnpmとnodeを使用してください。アプリケーションはnpm 8.3.1およびnode v17.4.0でテストされています。

開発モードでアプリケーションを実行するには：

• このリポジトリをクローンします。
• ターミナルを開き、クローンしたディレクトリに移動します。
• npm installを実行して必要な依存関係をインストールします。
• npm run devを実行してアプリを開発モードで実行します。
• アプリケーションは http://localhost:3000 で利用可能になるはずです。

本番用にアプリをビルドするには：

• 上記の手順に従ってリポジトリをクローンし、依存関係をインストールします。
• npm run buildを実行します。これにより、プロジェクトディレクトリにbuildフォルダが作成されます。
• buildフォルダの内容をウェブサーバーにデプロイします。その後、ウェブアプリを実行できるはずです。

質問・提案

BlueHoundの将来のバージョンに関するアイデア、コメント、提案は常に歓迎しています。アイデアがあれば、[email protected]までお気軽にお問い合わせいただくか、GitHubでIssueまたはプルリクエストを開いてください。