caronte$

Caronte는 공격/방어 유형의 캡처 더 플래그(Capture The Flag) 이벤트에서 네트워크 흐름을 분석하기 위한 도구입니다. pcap 파일에 캡처된 TCP 패킷을 재조립하여 TCP 연결을 재구성하고, 각 연결에서 사용자 정의 패턴을 찾기 위해 분석합니다. 패턴은 정규식 또는 프로토콜별 규칙을 사용하여 정의할 수 있습니다. 연결 흐름은 데이터베이스에 저장되며 웹 애플리케이션으로 시각화할 수 있습니다. REST API도 제공됩니다.

기능

• docker-compose로 즉시 설치 가능
• 설정 파일 없음, GUI 또는 API를 통해 설정 변경 가능
• 분석할 pcap은 curl을 통해 로컬 또는 원격으로, 또는 GUI를 통해 로드 가능
  • GUI에서 pcap을 다운로드하고 각 pcap에 대한 모든 분석 통계를 볼 수 있음
• 특정 문자열을 포함하는 연결을 식별하는 규칙을 생성 가능
  • 패턴 매칭은 정규식(regex)을 통해 수행됨
  • UTF-8 및 유니코드 형식의 정규식도 지원됨
• 연결은 포트 번호로 식별된 서비스 유형별로 레이블을 지정할 수 있음
  • 각 서비스에 다른 색상을 할당 가능
• 주소, 포트, 크기, 시간, 기간, 일치하는 규칙별로 연결을 필터링하는 기능
• 타임라인은 분당 샘플링된 다양한 메트릭을 보여줌
  • 이러한 메트릭 중 일부는 connections_per_service, client_bytes_per_service, server_bytes_per_service, duration_per service, matched_rules입니다.
    • matched_rules 메트릭을 사용하면 flag_in과 flag_out 간의 관계를 볼 수 있음
  • 타임라인에는 특정 시간 간격의 연결을 검색하는 데 사용할 수 있는 슬라이딩 윈도우가 포함됨
• 용어, 부정 용어, 정확한 구문, 정규식, 부정 정규식으로 고급 검색
  • 수행된 검색은 저장되어 이후에 즉시 반복할 수 있음
• 감지된 HTTP 연결은 자동으로 재구성됨
  • HTTP 요청은 curl, fetch 및 python requests를 통해 복제 가능
  • 압축된 HTTP 응답(gzip/deflate)은 자동으로 압축 해제됨
• 연결 내용을 hex 및 base64를 포함한 다양한 형식으로 내보내고 볼 수 있음
• JSON 내용은 JSON 트리 뷰어에 표시되며, HTML 코드는 별도 창에서 렌더링 가능
• 연결 내용 보기에서 일치하는 규칙의 발생이 강조 표시됨
• IPv4 및 IPv6 주소 모두 지원
  • 방어할 취약한 머신에 여러 주소가 할당된 경우 CIDR 주소를 사용할 수 있음

설치

Caronte를 설치하는 방법은 두 가지입니다:

• Docker 및 docker-compose를 사용하는 방법(가장 빠르고 쉬운 방법)
• 수동으로 종속성을 설치하고 프로젝트를 컴파일하는 방법

Docker로 실행

해야 할 일은 다음과 같습니다:

• git clone https://github.com/eciavatta/caronte.git으로 리포지토리 클론
• caronte 폴더 내에서 docker-compose up -d 실행
• 이미지가 컴파일될 때까지 기다린 후 브라우저에서 http://localhost:3333 열기

수동 설치

먼저 종속성을 설치해야 합니다:

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

다음으로 두 부분으로 구성된 프로젝트를 컴파일해야 합니다:

• 백엔드는 go mod download && go build로 컴파일 가능
• 프론트엔드는 cd frontend && yarn install && yarn build로 컴파일 가능

Caronte를 실행하기 전에 인증이 없는 MongoDB 인스턴스를 시작합니다 https://docs.mongodb.com/manual/administration/install-community/. MongoDB 포트를 공용 인터페이스에 노출하지 않도록 주의하십시오.

./caronte로 바이너리를 실행합니다. 사용 가능한 구성 옵션은 다음과 같습니다:

-bind-address    address where server is bind (default "0.0.0.0")
-bind-port       port where server is bind (default 3333)
-db-name         name of database to use (default "caronte")
-mongo-host      address of MongoDB (default "localhost")
-mongo-port      port of MongoDB (default 27017)

구성

구성은 그래픽 인터페이스나 API를 통해 첫 번째 시작 시 런타임에 이루어집니다. 다음을 설정해야 합니다:

• server_address: 취약한 머신의 IP 주소입니다. pcap의 모든 연결의 대상 주소여야 합니다. 각 취약 서비스에 고유 IP가 있는 경우, 이 매개변수는 CIDR 주소도 허용합니다. 주소는 IPv4 또는 IPv6일 수 있습니다.
• flag_regex: 플래그와 일치하는 정규식입니다. 일반적으로 대회 규칙 페이지에서 제공됩니다.
• auth_required: true인 경우 분석기를 보호하기 위해 기본 인증이 활성화됩니다.
• 선택적 accounts 배열: 권한이 있는 사용자의 자격 증명을 포함합니다.

문서

Go 언어로 작성된 백엔드는 서비스로 설계되었습니다. React를 사용하여 작성된 프론트엔드에서 사용하는 REST API를 노출합니다. 사용 가능한 API 목록과 설명은 여기에서 확인할 수 있습니다: https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

스크린샷

아래는 도구의 주요 기능을 보여주는 몇 가지 스크린샷입니다.

메인 창, 연결 목록 및 스트림 콘텐츠

메인 창, 타임라인 확장됨

규칙 및 서비스 보기

검색 및 pcap 보기

라이선스

caronte는 Emiliano Ciavatta가 만들었으며 GPL-3.0 라이선스에 따라 라이선스가 부여됩니다.