DARKSURGEON

CircleCI 상태:

DARKSURGEON 소개

DARKSURGEON은 침해 대응, 디지털 포렌식, 악성코드 분석 및 네트워크 방어를 강화하기 위한 Windows 패커 프로젝트입니다.

DARKSURGEON은 세 가지 목표를 가지고 있습니다:

• 사전 구성된 Windows 10 환경(도구, 스크립트, 유틸리티 포함)을 제공하여 침해 대응, 디지털 포렌식, 악성코드 분석 및 네트워크 방어를 가속화합니다.
• Packer와 Vagrant를 사용하여 자신만의 프로그램 방식으로 구축된 Windows 이미지를 사용자 정의하고 배포할 수 있는 프레임워크를 방어자에게 제공합니다.
• 잠재적 텔레메트리 수집량을 줄이고, 오류 보고를 최소화하며, Windows 10에 대한 합리적인 개인정보 보호 및 강화 기준을 제공합니다.

Packer를 사용해본 적이 없다면, 이 프로젝트의 기본 전제는 간단합니다:

생산적이고 안전하며 비공개적인 Windows 가상 머신을 갖추는 데 필요한 모든 도구를 제공하여 환경을 조정하는 데 시간을 덜 쓰고 위협과 싸우는 데 더 많은 시간을 할애할 수 있도록 하는 것입니다.

이 프로젝트는 알파 버전입니다 계속해서 개발, 업데이트 및 패키지 손상이 발생할 수 있습니다.

개발 원칙

DARKSURGEON은 몇 가지 핵심 개발 원칙을 기반으로 합니다:

• 모듈성이 핵심입니다. 설치 및 구성 프로세스의 각 구성 요소는 모듈식이어야 합니다. 이를 통해 개인이 가장 유연한 방식으로 패커 이미지를 맞춤 설정할 수 있습니다.
• 빌드는 원자적이어야 합니다. 패커 빌드는 모든 구성 및 설치 작업을 오류 없이 완료하거나 실패해야 합니다. 도구가 누락된 패커 이미지는 실패 시나리오입니다.
• 기본적으로 강화됨. 조사 워크플로우를 방해하지 않는 한, 사전 강화 및 보안 제어와 관련된 모든 설정을 활성화해야 합니다. DARKSURGEON 보안에 대한 자세한 내용은 이 게시물 뒷부분에서 확인할 수 있습니다.
• 기본적으로 계측됨. 조사 워크플로우를 방해하지 않는 한, Microsoft Sysmon, Windows 이벤트 로깅 및 osquery는 추가 구성 없이 호스트 동작에 대한 상세한 텔레메트리를 제공합니다.
• 기본적으로 비공개. 조사 워크플로우를 방해하지 않는 한, 개인정보 보호, Windows 텔레메트리 및 오류 보고와 관련된 모든 설정은 수집을 최소화해야 합니다.

강화

DARKSURGEON은 기본적으로 강화되어 있으며, 높음 또는 낮음 보안 모드를 활성화하는 스크립트가 포함되어 있습니다.

모든 기본 DARKSURGEON 설치에는 다음 보안 기능이 활성화되어 있습니다:

• Windows Secure Boot가 활성화됨.
• Windows 이벤트 로그 감사가 활성화됨. (Palantir Windows 이벤트 전달 지침)
• Windows PowerShell 감사가 활성화됨. (Palantir Windows 이벤트 전달 지침)
• Windows 10 개인정보 보호 및 텔레메트리가 최소 설정으로 축소됨. (Microsoft 지침)
• Sysinternals Sysmon이 설치 및 구성됨. (SwiftonSecurity 공개 규칙 세트)
• LLMNR이 비활성화됨.
• NBT가 비활성화됨.
• WPAD가 제거됨.
• PowerShell v2가 제거됨.
• SMB v1이 제거됨.
• 일반적으로 남용되는 파일 확장자에 대한 애플리케이션 처리기가 notepad.exe로 변경됨.

또한 사용자는 적절한 스크립트를 사용하여 낮음 또는 높음 보안 모드를 지정할 수 있습니다. 기본 설정은 낮음 보안 모드로 이미지를 빌드하는 것입니다.

낮음 보안 모드는 주로 역공학, 악성코드 분석 또는 VBS 보안 제어를 지원할 수 없는 시스템을 위한 가상 머신에 사용됩니다.

낮음 보안 모드에서는 다음과 같은 강화 기능이 구성됩니다:

• Windows Defender 실시간 검사가 비활성화됨.
• Windows Defender SmartScreen이 비활성화됨.
• Windows Defender Credential Guard가 비활성화됨.
• Windows Defender Exploit Guard가 비활성화됨.
• Windows Defender Exploit Guard Attack Surface Reduction(ASR)이 비활성화됨.
• Windows Defender Application Guard가 비활성화됨.
• Windows Defender Application Guard가 격리를 강제하지 않음.

참고: 높음 보안 모드는 아직 개발 중입니다.

높음 보안 모드는 주로 민감한 시스템(예: 권한 있는 액세스 워크스테이션)의 프로덕션 배포에 사용되며 추가적인 조정이나 구성이 필요할 수 있습니다.

높음 보안 모드에서는 다음과 같은 강화 기능이 구성됩니다:

• Windows Defender 실시간 검사가 활성화됨.
• Windows Defender SmartScreen이 활성화되고 모든 트래픽에 적용됨.
• Windows Defender Credential Guard가 활성화됨.
• Windows Defender Exploit Guard가 활성화됨.
• Windows Defender Exploit Guard Attack Surface Reduction(ASR)이 활성화됨.
• Windows Defender Application Guard가 활성화됨.
• Windows Defender Application Guard가 격리를 강제함.

텔레메트리

알 수 없는 바이너리를 분석하거나 민감한 프로젝트를 작업할 때, 엔드포인트 텔레메트리는 탐지 및 대응 작업을 지원합니다. DARKSURGEON은 분석에 사용할 수 있는 다음과 같은 텔레메트리 소스가 사전 구성되어 있습니다:

• Windows 이벤트 로그 감사가 활성화됨. (Palantir Windows 이벤트 전달 지침)
• Windows PowerShell 감사가 활성화됨. (Palantir Windows 이벤트 전달 지침)
• Sysinternals Sysmon이 설치 및 구성됨. (SwiftonSecurity 규칙 세트)

개인정보 보호

운영 환경에는 네트워크에서 가장 민감한 데이터 중 일부가 포함되며, 이를 엿보는 눈으로부터 보호하는 것이 중요합니다. DARKSURGEON은 워크플로우를 방해하지 않으면서 개인정보 보호를 최대화하기 위해 다음과 같은 전략을 구현합니다:

• Windows 10 텔레메트리 설정이 수집을 최소화하도록 구성됨.
• Cortana, 진단, 추적 및 기타 서비스가 비활성화됨.
• Windows 오류 보고(WER)가 비활성화됨.
• Windows 타임라인, 공유 클립보드, 장치 핸드오프 및 기타 기본 동기화 애플리케이션이 비활성화되거나 무력화됨.
• 텔레메트리 및 데이터 수집을 줄이기 위한 Microsoft 지침이 구현됨.

패키지

기본적으로 DARKSURGEON에는 방어자의 작업을 더 쉽게 만들어 줄 도구, 스크립트 및 바이너리가 장착되어 있습니다.

Android 분석:

Android 분석 및 역공학에 초점을 맞춘 도구, 스크립트 및 바이너리.

• APKTool (FLARE)

블루 팀:

블루 팀, 네트워크 방어, 경보/탐지 개발에 초점을 맞춘 도구, 스크립트 및 바이너리.

• ACE
• Bloodhound / Sharphound
• CimSweep
• Dumpsterfire
• EndGame Red Team Automation (RTA)
• Kansa
• Posh-Git
• Invoke-ATTACKAPI
• LOLBAS (Living Off the Land Binaries And Scripts)
• OSX Collector
• Posh-SecMod
• Posh-Sysmon
• PowerForensics
• PowerSploit
• Practical Malware Analysis Labs (FLARE)
• Revoke-Obfuscation
• Yara (FLARE)

디버거:

바이너리 아티팩트 디버깅을 위한 도구, 스크립트 및 바이너리.

• Ollydbg (FLARE)
• OllyDump (FLARE)
• OllyDumpEx (FLARE)
• Ollydbg2 (FLARE)
• OllyDump2Ex (FLARE)
• x64dbg (FLARE)
• Windbg (FLARE)

디스어셈블러:

바이너리 아티팩트 디스어셈블리를 위한 도구, 스크립트 및 바이너리.

• IDA Free Trial (FLARE)
• Binary Ninja Demo (FLARE)
• Radare2 (FLARE)

문서 분석: 문서 분석을 수행하기 위한 도구, 스크립트 및 바이너리.

• OffVis (FLARE)
• OfficeMalScanner (FLARE)
• PDFId (FLARE)
• PDFParser (FLARE)
• PDFStreamDumper (FLARE)

DotNet 분석:

DotNet 아티팩트 분석을 수행하기 위한 도구, 스크립트 및 바이너리.

• DE4Dot (FLARE)
• DNSpy (FLARE)
• DotPeek (FLARE)
• ILSpy (FLARE)

Flash 분석:

Flash 아티팩트 분석을 수행하기 위한 도구, 스크립트 및 바이너리.

• FFDec (FLARE)

포렌식 분석:

애플리케이션 및 운영 체제 아티팩트에 대한 포렌식 분석을 수행하기 위한 도구, 스크립트 및 바이너리.

• Amcache Parser
• AppCompatCache Parser
• IISGeolocate
• JLECmd
• LECmd
• JumpList Explorer
• PECmd
• Registry Explorer
• Regshot (FLARE)
• Shellbags Explorer
• Timeline Explorer
• TSK (The Sleuthkit)
• Volatility
• X-Ways Forensics Installer Manager (XWFIM)

헥스 편집기:

• FileInsight (FLARE)
• HxD (FLARE)
• 010 Editor (FLARE)

Java 분석:

• JD-GUI (FLARE)
• Dex2JAR

네트워크 분석:

• Burp Free
• FakeNet-NG (FLARE)
• Wireshark (FLARE)

PE 분석:

• DIE (FLARE)
• EXEInfoPE (FLARE)
• Malware Analysis Pack (MAP) (FLARE)
• PEiD (FLARE)
• ExplorerSuite (CFF Explorer) (FLARE)
• PEStudio (FLARE)
• PEview (FLARE)
• Resource Hacker (FLARE)
• VirusTotal Uploader

PowerShell 모듈:

• Active Directory
• Azure Management
• Pester

Python 라이브러리:

• Cryptography
• Hexdump
• OLETools
• LXML
• Pandas
• Passivetotal
• PEFile
• PyCryptodome
• Scapy
• Shodan
• Sigma
• Visual C++ for Python
• Vivisect
• WinAppDBG
• Yara-Python

레드 팀:

• Grouper
• Inveigh
• Nmap
• Powershell Empire
• PowerupSQL
• PSAttack
• PSAttack Build Tool
• Responder

원격 관리:

• AWS Command Line (AWSCLI)
• OpenSSH
• Putty
• Remote Server Administration Tools (RSAT)

유틸리티:

• 1Password
• 7Zip
• Adobe Flash Player
• Adobe Reader
• API Monitor
• Bleachbit
• Boxstarter
• Bstrings
• Checksum
• Chocolatey
• Cmder
• Containers (Hyper-V)
• Curl
• Cyber Chef
• Docker
• DotNet 3.5
• DotNet 4
• Exiftool
• FLOSS (FLARE)
• Git
• GoLang
• Google Chrome
• GPG4Win
• Hashcalc
• Hashdeep
• Hasher
• Hashtab
• Hyper-V
• Irfanview
• Java JDK8
• Java JRE8
• JQ
• Jupyter
• Keepass
• Microsoft Edge
• Mozilla Firefox
• Mozilla Thunderbird
• Neo4j Community
• NodeJS
• Nuget
• Office365 ProPlus
• OpenVPN
• Osquery
• Python 2.7
• Qbittorrent
• RawCap
• Slack
• Sublime Text 3
• Sysinternals Suite
• Tor Browser
• UnixUtils
• UPX
• Visual C++ 2005
• Visual C++ 2008
• Visual C++ 2010
• Visual C++ 2012
• Visual C++ 2013
• Visual C++ 2015
• Visual C++ 2017
• Visual Studio Code
• Windows 10 SDK
• Windows Subsystem for Linux (WSL)
• Winlogbeat
• XorSearch
• XorStrings

Visual Basic 분석:

• VBDecompiler

DARKSURGEON 빌드하기

빌드 프로세스

DARKSURGEON은 HashiCorp 애플리케이션 packer를 사용하여 빌드됩니다. 새 DARKSURGEON 인스턴스의 총 빌드 시간은 약 2~3시간입니다.

1. Packer는 DARKSURGEON JSON 파일과 선택한 하이퍼바이저(예: Hyper-V, Virtualbox, VMWare)를 사용하여 새 가상 머신을 생성합니다.
2. answers.iso 파일이 Windows ISO와 함께 DARKSURGEON VM 내에 마운트됩니다. answers.iso 파일에는 Windows의 터치리스 설치에 필요한 unattend.xml과 Windows Remote Management(winrm)를 구성하는 PowerShell 스크립트가 포함되어 있습니다.
3. Packer는 WinRM을 사용하여 DARKSURGEON VM에 연결하고 helper-scripts 및 configuration-files 디렉터리의 모든 파일을 호스트에 복사합니다.
4. Packer는 구성된 각 PowerShell 스크립트를 직렬로 설치하고 필요에 따라 재부팅을 수행합니다.
5. 완료되면 Packer는 sysprep을 수행하고 가상 머신을 종료한 후 vagrant 박스 파일을 생성합니다. JSON 파일의 post-processors 섹션에서 추가 출력을 지정할 수 있습니다.

설정

참고: 이 알파 릴리스에서는 Hyper-V만 지원되는 하이퍼바이저입니다. VirtualBox 및 VMWare 지원은 추후 제공될 예정입니다.

1. 호스트에 packer, vagrant 및 선호하는 하이퍼바이저를 설치합니다.
2. 리포지토리 내용을 호스트에 다운로드합니다.
3. Windows 10 Enterprise 평가판 ISO(1803)를 다운로드합니다.
4. ISO 파일을 로컬 DARKSURGEON 리포지토리로 이동합니다.
5. DARKSURGEON.json을 ISO SHA1 해시 및 파일 이름으로 업데이트합니다.
6. (선택 사항) PowerShell 스크립트 New-DARKSURGEONISO.ps1을 실행하여 새 answers.iso 파일을 생성합니다. 리포지토리에 answers ISO 파일이 포함되어 있지만, 신뢰할 수 없거나 unattend 파일을 수정하려는 경우 다시 빌드할 수 있습니다: powershell.exe New-DARKSURGEONISO.ps1
7. Packer를 사용하여 빌드: packer build -only=[hyperv-iso|vmware|virtualbox] .\DARKSURGEON.json

DARKSURGEON 구성

DARKSURGEON은 모듈식으로 쉽게 구성할 수 있도록 설계되었습니다. DARKSURGEON.json 파일에 예제 구성이 제공되어 있지만, 기본 스크립트를 추가, 제거 또는 조정할 수 있습니다.

추가해야 할 사용자 정의 CA가 있습니까? IDA용 라이선스 파일을 추가해야 합니까? 문제 없습니다. 필요한 모든 파일을 configuration-files 디렉터리에 넣으면 호스트에 복사됩니다.

사용자 정의 패키지를 설치하거나 특정 OS 조정이 필요합니까? 걱정하지 마세요. configuration-scripts 디렉터리에 새 PowerShell 스크립트를 만들거나 기존 스크립트를 수정한 후 packer JSON 파일에 빌드 단계로 추가하면 됩니다.

DARKSURGEON 사용

참고: 이 알파 릴리스에서는 Hyper-V만 지원되는 하이퍼바이저입니다. VirtualBox 및 VMWare 지원은 추후 제공될 예정입니다.

DARKSURGEON이 성공적으로 빌드되면 출력 vagrant 박스 파일을 받게 됩니다. 박스 파일에는 가상 머신 이미지와 vagrant 메타데이터가 포함되어 있어 필요에 따라 가상 머신을 빠르게 시작할 수 있습니다.

1. 호스트에 vagrant 및 선호하는 하이퍼바이저를 설치합니다.
2. DARKSURGEON 리포지토리(또는 DARKSURGEON 박스 파일을 저장한 위치)로 이동합니다.
3. vagrant up을 수행합니다: vagrant up

Vagrant는 이제 박스 파일에서 가상 머신 이미지를 추출하고 메타데이터를 읽은 후 새 VM을 생성합니다. 이 VM을 종료하고 새 VM을 얻고 싶습니까?

간단합니다. 다음을 수행하세요: vagrant destroy && vagrant up

DARKSURGEON 가상 머신이 실행되면 두 로컬 계정 중 하나를 사용하여 로그인할 수 있습니다:

참고: 이들은 기본 자격 증명이 있는 기본 계정입니다. Packer 빌드에서 자격 증명을 변경하는 것을 고려할 수 있습니다.

관리자 계정:

사용자 이름: Darksurgeon

비밀번호: darksurgeon

로컬 사용자 계정:

사용자 이름: Unprivileged

비밀번호: unprivileged

Vagrant를 사용하지 않으려면 VM 이미지를 수동으로 가져오거나 Packer에서 제공하는 다른 많은 후처리 옵션 중 하나를 사용할 수 있습니다.

DARKSURGEON 다운로드

DARKSURGEON 빌드 과정을 건너뛰고 제가 빌드한 박스 파일을 신뢰하고 싶다면 여기에서 다운로드할 수 있습니다.

기여

기여, 수정 및 개선 사항은 GitHub 이슈 또는 풀 리퀘스트로 이 프로젝트에 직접 제출할 수 있습니다. 도구는 사례별로 검토되고 추가됩니다.

자주 묻는 질문

왜 Hyper-V가 선호되는 하이퍼바이저인가요?

Windows Defender Device Guard 및 가상화 기반 보안의 가치를 강하게 믿으며, 최적의 효과를 위해 Hyper-V 사용이 필요합니다. 결과적으로 호스트 머신에서는 다른 하이퍼바이저를 권장하지 않습니다. 다른 주요 하이퍼바이저를 수용하기 위해 최선을 다하겠지만, 모든 사용자에게 Hyper-V 사용을 권장합니다.

왜 chocolatey 패키지 오류 하나로 전체 packer 빌드가 실패하나요?

이는 예상된 모든 패키지가 최종 packer 빌드에 포함되도록 보장하기 위한 설계 결정이었습니다. 이 결정의 장점은 최종 제품에서 모든 예상 도구를 사용할 수 있다는 보장입니다. 단점은 일시적이거나 chocolatey 오류로 인해 빌드가 실패할 수 있어 빌드 파이프라인에 복잡성과 취약성이 추가된다는 점입니다.

이 기능을 무시하려면 기본 스크립트를 수정하여 패키지 설치 시 오류를 무시하도록 자유롭게 수정할 수 있습니다.

이 프로젝트는 Chocolatey Professional/Business/Consultant 라이선스를 지원합니까?

예. packer 빌드를 수행할 때 라이선스 파일(이름: chocolatey.license.xml)을 configuration-files 디렉터리에 추가하면 Set-ChocolateySettings.ps1 스크립트에 의해 자동으로 가져와집니다. chocolatey 라이선스 사용이 최종 사용자 라이선스 계약을 준수하는지 확인하십시오.

빌드 함수가 수십 개의 개별 PowerShell 스크립트로 나뉘어 있는 이유는 무엇인가요?

유연성이 핵심입니다. 이러한 스크립트 중 일부를 사용하거나 사용하지 않을 수 있으며, 순서도 자유롭게 정할 수 있습니다. 개별 파일을 사용하면 프로젝트 복잡성이 증가하지만, 프로젝트를 문제 없이 완전히 사용자 정의할 수 있습니다.

빌드를 디버깅하고 싶습니다. 어떻게 해야 하나요?

원하는 지점에 Set-Breakpoint.ps1 스크립트를 프로비저너 프로세스에 추가합니다. 그러면 packer 빌드가 스크립트가 완료될 때까지 4시간 동안 중지됩니다.

문제 해결

Packer 빌드 프로세스가 시작되지 않고 UEFI 화면에서 멈춥니다.

이는 에뮬레이션된 키 입력이 마운트된 Windows ISO에서 이미지를 부팅하지 못하게 하는 타이밍 문제일 가능성이 높습니다. VM을 다시 시작하고 빌드 프로세스가 시작될 때까지 몇 번 버튼을 누르십시오.

Packer가 빌드 중 시간 초과되었습니다. 오류 메시지를 받지 못했습니다.

다운로드 및 설치되는 패키지의 크기로 인해 기본 packer 빌드 시간 제한을 초과했을 수 있습니다.

VM이 실행 중이지만 Packer가 WinRM을 통해 연결되지 않는 것 같습니다.

게스트에 연결하여 다음을 확인하세요:

• WinRM이 Packer 호스트에서 접근 가능한지 확인합니다. (Test-NetConnection -ComputerName <Packer IP 주소> -Port 5985)
• WinRM이 게스트 방화벽에서 허용되는지 확인합니다.

Chocolatey에서 바이러스 백신, 체크섬 또는 기타 문제가 계속 발생합니다. 왜 그런가요?

불행히도 이러한 패키지는 변동 가능성이 있습니다. 새 업데이트로 인해 chocolatey 패키지의 정적 체크섬이 잘못되거나 바이러스 백신이 바이너리를 잘못 플래그할 수 있습니다. 이러한 오류가 발생하지 않도록 전역 chocolatey 옵션을 지정할 수 있지만, 기본 chocolatey 패키지의 문제로 보고된 버그 리포트에 최선을 다해 응답하겠습니다.

라이선스 승인

이 프로젝트의 사용자는 다운로드/설치된 각 패키지의 라이선스 조건을 검토, 승인 및 준수해야 합니다. 특정 소프트웨어 구성 요소의 라이선스 조건을 준수하지 않으려면 해당 패키지를 packer 빌드에서 제거하거나 이 프로젝트를 사용하지 마십시오.

라이선스

MIT License

Copyright (c) 2018

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

추가 자료 및 감사의 말

이 프로젝트는 거인의 어깨 위에 서 있으며, 모든 원저자들의 작업, 기여 및 영감에 대해 제대로 감사할 수 없습니다.

• Windows packer 프로젝트를 개척한 Joe Fitzgerald.
• FLAREVM 프로젝트의 chocolatey 패키지 및 리포지토리에 대한 FireEye의 FLARE 팀의 훌륭한 작업.
• DetectionLab 및 packer CI 파이프라인에 대한 훌륭한 작업을 해준 Chris Long.
• 이 모든 것을 가능하게 한 모든 저자, chocolatey 패키지 관리자 및 도구 작성자.
• 드디어 이 프로젝트를 오픈 소스로 공개하도록 도전해준 친구와 동료들.