자동 수집 및 강화

자동 수집 및 강화(ACE) 플랫폼은 위협 사냥꾼이 네트워크의 여러 엔드포인트에서 데이터를 수집하고 자동으로 데이터를 강화할 수 있도록 하는 도구 모음입니다. 데이터는 대상에 소프트웨어를 설치하지 않고 각 컴퓨터에서 스크립트를 실행하여 수집됩니다. ACE는 Windows, macOS 및 Linux 호스트에서의 수집을 지원합니다.

ACE는 자격 증명 관리, 스케줄링, 중앙 집중식 스크립트 관리 및 원격 파일 다운로드를 제공하여 환경 전반에서 원격으로 데이터를 수집하는 프로세스를 간소화하기 위해 설계되었습니다. ACE는 데이터를 수집하고 강화하여 SIEM을 보완하도록 설계되었습니다. 최종 분석은 Splunk, ELK 또는 분석가가 선호하는 도구와 같은 SIEM 도구에 가장 적합합니다.

alt text

ACE를 사용하는 이유?

ACE는 일반적인 제약이 있는 환경에서 침해 평가를 수행해야 할 필요성에서 탄생했습니다:

대상 호스트에 전용 소프트웨어 에이전트를 설치할 수 없습니다.
실행 파일(예: Sysinternals 도구)을 복사하여 실행하는 것이 불가능합니다.
고객이 Windows 원격 관리(WinRM)를 활성화할 수 없습니다.
고객의 macOS/Linux 호스트에 대한 가시성이 제한적이거나 전혀 없습니다.
고객별 데이터를 위해 새로운 스크립트/도구를 만들어야 합니다.
네트워크 분할로 인해 환경의 모든 시스템에 접근하려면 여러 자격 증명이 필요합니다.

설치/ACE의 아키텍처는 무엇인가요?

ACE는 네 가지 구성 요소로 구성됩니다: ACE 웹 서비스, ACE Nginx 웹 프록시, ACE SQL 데이터베이스 및 ACE RabbitMQ 메시지 큐. 웹 서비스는 클라이언트의 요청을 받아 스캔을 예약하고 관리하는 RESTful API입니다. SQL 데이터베이스는 스캔의 구성과 데이터를 저장합니다. RabbitMQ 서비스는 데이터의 자동 강화를 처리합니다.

Linux Docker 호스트와 Windows 호스트의 IP 주소를 확인하세요.

ACE Docker 이미지

ACEWebService

릴리스 페이지에서 Configure-AceWebService.ps1 스크립트를 다운로드합니다.

사용법/ACE는 어떻게 사용하나요?

ACE 저장소에는 ACE 웹 서비스와 상호 작용하기 위한 PowerShell 스크립트 모음이 포함되어 있으며, 사용자 추가, 자격 증명 관리, 수집 스크립트 업로드 및 스캔 예약 등을 수행할 수 있습니다.

ACE 서버를 배포한 후 New-AceUser를 사용하여 새 ACE 사용자를 만듭니다.

Remove-AceUser를 사용하여 기본 "Admin" 사용자를 제거합니다.

New-AceCredential을 사용하여 자격 증명 세트를 입력합니다.

Start-AceDiscovery를 실행하여 Windows 도메인에서 컴퓨터를 자동으로 찾습니다.

Start-AceSweep을 실행하여 선택한 스크립트를 검색된 엔드포인트에서 실행하는 스윕을 시작합니다.

추가 자료

기여

ACE에 대한 기여는 언제나 환영합니다.

ACE

인기