endgameinc/rta블루 팀 탐지 능력을 테스트하기 위해 50개 이상의 MITRE ATT&CK 기술을 시뮬레이션하는 스크립트 기반 프레임워크입니다. 프로세스 인젝션, 비콘 시뮬레이션, 측면 이동 에뮬레이션을 위한 Python 스크립트와 컴파일된 바이너리가 포함되어 있습니다.
RTA는 블루팀이 악성 트레이드크래프트에 대한 탐지 능력을 테스트할 수 있도록 설계된 스크립트 프레임워크를 제공하며, MITRE ATT&CK를 모델로 합니다.
RTA는 50가지 이상의 다양한 ATT&CK 전술에 대한 증거를 생성하는 파이썬 스크립트와 필요에 따라 파일 타임스토핑, 프로세스 인젝션, 비콘 시뮬레이션 등의 활동을 수행하는 컴파일된 바이너리 애플리케이션으로 구성됩니다.
가능한 경우 RTA는 설명된 실제 악성 활동을 수행하려고 시도합니다. 다른 경우에는 RTA가 활동의 전체 또는 일부를 에뮬레이트합니다. 예를 들어, 일부 수평 이동은 기본적으로 로컬 호스트를 대상으로 합니다(매개변수를 통해 일반적으로 다중 호스트 테스트가 가능함). 다른 경우에는 cmd.exe 또는 python.exe와 같은 실행 파일의 이름을 변경하여 Windows 바이너리가 비표준 활동을 수행하는 것처럼 보이게 만듭니다.
일부 RTA는 제대로 실행되기 위해 타사 도구가 필요합니다. 추가 도구 없이 여러 RTA를 실행할 수 있지만, 전체 제품군을 사용하려면 일부 추가 다운로드가 필요합니다.
다음 표는 종속성 정보를 제공합니다:
| 종속성 | RTAs | 출처 |
|---|---|---|
| Sysinternals Suite | user_dir_escalation.py, sip_provider.py, system_restore_proc.py, trust_provider.py | Microsoft |
| MsXsl | msxsl_network.py | Microsoft |
Windows Defender 또는 기타 안티바이러스 제품은 RTA 실행 중에 이를 차단하거나 방해할 수 있습니다. 테스트 목표에 따라 RTA를 실행하기 전에 테스트 호스트에서 보안 제품을 어떻게 구성할지 고려하십시오.
common.py를 수정하여 환경에서 RTA 스크립트가 작동하는 방식을 사용자 정의할 수 있습니다. 하나 이상의 새로운 RTA에서 사용할 완전히 새로운 함수를 작성할 수도 있습니다.
powershell_args.py RTA를 실행하려면 다음을 실행하십시오:
python powershell_args.py
전체 RTA 디렉토리를 실행하는 가장 쉬운 방법은 제공된 스크립트 실행기 "run_rta.py"를 사용하는 것입니다. 이 스크립트 실행기는 "red_ttp" 하위 디렉토리의 모든 스크립트를 실행할 수 있으며, 기본적으로 그렇게 합니다:
모든 운영 체제:
python run_rta.py
또는 루프를 사용할 수 있습니다:
Windows:
for %f in (*.py) do python %f
Linux/Mac:
for i in (*.py); do python $i; done
규칙 중 어느 것도 인수를 필요로 하지 않지만, 일부는 기술을 추가로 사용자 정의하기 위해 선택적으로 인수를 받을 수 있습니다.
일반적인 문제를 해결하는 데 도움이 되도록 다음 자주 묻는 질문을 참조하십시오:
이는 Python 3.x가 2.7 대신 설치된 경우 발생할 수 있습니다. 사전 요구 사항에는 2.7이 명시되어 있지만 장기적으로 3.x를 사용하는 방안을 고려 중입니다.
누락된 종속성에 대한 오류를 해결하려면 Sysinternals 제품군과 같은 타사 유틸리티를 다운로드하고 이러한 실행 파일을 "bin" 하위 디렉토리에 추출하는 지침을 따랐는지 확인하십시오.
환경에 수평 이동을 방해하는 호스트 기반 방화벽이 있을 수 있습니다. 이는 프로덕션에서 비활성화해서는 안 되는 좋은 것입니다! 대신 실패한 시도를 감지할 수 있는지 여부를 확인하십시오.
Windows Defender 또는 기타 AV 제품이 악성 활동을 감지하면 때때로 파일을 잠가 이 오류가 발생할 수 있습니다. AV 로그를 확인하여 오류의 원인인지 확인하십시오.
Endgame은 앞으로 몇 주 및 몇 달에 걸쳐 다양한 MITRE ATT&CK 기술에 해당하는 스크립트를 계속 출시할 예정입니다. 이미 스크립트를 작성했다면 풀 리퀘스트를 받아들이고 기여를 기쁘게 검토하고 병합하겠습니다! 이 저장소에 기여하는 것은 전체 커뮤니티를 위해 RTA를 확장하는 좋은 방법입니다.