BLUESPAWN

코드 상태

우리의 사명

BLUESPAWN은 블루 팀이 실시간으로 시스템을 모니터링하고 비정상적인 활동을 탐지하여 활성 공격자에 대응할 수 있도록 돕습니다.

BLUESPAWN이란?

BLUESPAWN은 능동 방어 및 엔드포인트 탐지 및 대응 도구로, 방어자가 네트워크 전반에서 악성 활동과 멀웨어를 신속하게 탐지, 식별, 제거하는 데 사용할 수 있습니다.

참여 및 프로젝트 기여하기

BLUESPAWN이 멀웨어 탐지 및 차단을 더욱 효과적으로 수행할 수 있도록 돕고 싶으신가요? BLUESPAWN Discord 서버에 참여하여 개발에 도움을 주거나 기능 제안, 버그 신고를 해주세요. 경험이 필요하지 않습니다. 개발이나 보안에 대해 배우는 가장 좋은 방법은 직접 참여하는 것입니다!

코드 기여에 관심이 있으시다면 개발 환경 설정 위키 페이지를 확인해보세요. 설정 과정에서 문제가 발생하면 Discord에서 언제든지 문의해주세요! 일반적으로 버그와 새로운 기능은 이슈(Issues)를 통해 추적하며, 개발 작업은 채팅에서 조율합니다.

BLUESPAWN을 만든 이유

BLUESPAWN을 만들고 오픈소스로 공개한 이유는 다음과 같습니다.

• 더 빠른 대응: 시스템에서 악성 활동을 신속하게 식별할 수 있도록 특별히 설계된 도구를 원했습니다.
• 커버리지 파악: 도구가 무엇을 탐지할 수 있는지 정확히 알고, 블랙박스 소프트웨어(예: AV 프로그램)에 너무 의존하지 않기 위함입니다. 이러한 접근 방식은 특정 노력 영역에 집중하고 다른 영역의 상태에 대해 확신을 가질 수 있게 해줍니다.
• 더 나은 이해: Windows 공격 표면을 더 잘 이해하여 더 효과적으로 방어하기 위함입니다.
• 더 많은 오픈소스 블루 팀 소프트웨어: 많은 오픈소스 레드 팀 도구가 있는 반면, 최고의 블루 팀 도구 대부분은 폐쇄 소스입니다(예: AV, EDR, SysInternals 등). 악의적인 공격자를 막기 위해 보안을 통한 모호성(security through obscurity)에 의존할 필요가 없어야 합니다(물론 매우 어렵지만 노력할 가치가 있습니다!).
• 운영 체제 API 기능 시연: 이 프로젝트를 위해 많은 Microsoft 문서, StackOverflow 답변 등을 샅샅이 뒤졌습니다. 다른 사람들이 이 코드의 일부를 유용하게 사용할 수 있기를 바랍니다.

MITRE ATT&CK 커버리지

이 지도를 방문하여 현재 커버리지 기능을 확인하세요.

BLUESPAWN 사용해보기

참고: BLUESPAWN은 현재 활발히 개발 중인 알파 단계이므로 일부 기능이 예상대로 작동하지 않을 수 있으며, 탐지 범위가 너무 좁거나 많은 오탐지를 생성할 수 있습니다.

참고 2: BLUESPAWN은 대부분의 경우 보안 전문가가 실행하도록 설계되었으며, 따라서 때로는 악성이 아닌 활동도 탐지할 수 있습니다. BLUESPAWN은 잠재적으로 위험한 것을 신속하게 표면화하는 데 도움을 주지만, 최종 판단은 사용자가 제공된 정보를 사용하여 내려야 합니다.

0. Wiki 페이지에서 사용 가능한 명령줄 옵션, 예제 등에 대해 자세히 알아보세요.
1. 이 페이지에서 최신 릴리스를 다운로드하세요.
2. 관리자 명령 프롬프트를 엽니다.
3. 다음 명령어를 실행하여 사용 가능한 옵션을 확인합니다.

.\BLUESPAWN-client-x64.exe --help

완화 모드

4. 관리자 명령 프롬프트에서 다음 명령어를 실행하여 시스템의 다양한 보안 설정 상태를 감사합니다.

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

헌트 모드

5. 관리자 명령 프롬프트에서 BLUESPAWN을 실행하여 시스템의 악성 활동을 헌트합니다.

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

모니터 모드

6. 관리자 명령 프롬프트에서 BLUESPAWN을 실행하여 시스템의 악성 활동을 모니터링합니다.

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

주요 기능 영역

BLUESPAWN은 아래에 나열된 3가지 주요 모드로 구성됩니다. 이러한 모듈 중 일부는 아래와 같이 하위 모듈(아직 코드베이스에 생성되지 않았을 수 있음)을 가지며, 모두 계획, 연구, 개발 단계가 다양합니다. 또한 여러 다른 모듈에 의해 지원됩니다.

• 헌트 (악성 행동 증거를 탐색)

• 완화 (보안 설정을 적용하여 취약점 완화)

• 모니터 (시스템의 잠재적 악성 행동 지속적 모니터링)

• 스캔 (헌트에서 식별된 항목을 평가하고 의심스러운지/멀웨어인지 결정하는 데 사용)

• 사용자 (프로그램 main, IOBase 및 기타 유사 함수 포함)

• 유틸 (핵심 작업을 지원하는 모듈 모음)

  • 구성(Configurations)
  • 이벤트 로그(Event Logs)
  • 파일 시스템(File System)
  • 로그(Log)
  • PE(PEs)
  • 프로세스(Processes)

발표, 출판물 및 기타 언급

다음은 이 프로젝트에 대해 들을 수 있었던 몇몇 장소입니다.

DEFCON 28 Blue Team Village - 개요, 슬라이드

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

UVA의 BLUESPAWN 연구 논문 - 논문, DOI 10.18130/v3-b1n6-ef83

문의하기

질문, 의견, 제안이 있으시면 [email protected]로 이메일을 보내거나 BLUESPAWN Discord 서버에서 메시지를 남겨주세요.

라이선스 및 규정 준수

BLUESPAWN 핵심 코드는 GNU General Public License (GPL) v3.0에 따라 라이선스가 부여됩니다.

이 프로젝트는 추가 기능/탐지를 제공하기 위해 여러 다른 라이브러리를 통합합니다. 그중 하나는 Florian Roth의 signature-base이며, 이는 Creative Commons Attribution-NonCommercial 4.0 International License에 따라 라이선스가 부여됩니다. 이 프로젝트의 YARA 규칙은 변경 없이 표준 빌드에 통합됩니다. BLUESPAWN을 상업적 목적으로 사용하려면 이 파일에서 "Non-Commercial Only" 줄 아래의 모든 내용을 제거하고 프로젝트를 다시 컴파일해야 합니다.

프로젝트 저자

UVA 사이버 방어팀과 아래 나열된 핵심 개발팀의 다른 멋진 사람들이 ❤️를 담아 만들었습니다.

• Jake Smith (Github, Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github, Twitter)
• Will Mayes (Github, Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

기여자

아래 나열된 모든 분들께 감사드립니다. BLUESPAWN에 기여해 주셨습니다!

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

도움을 주고 싶으신가요? 현재 이슈를 확인하고, 새로운 기능에 대한 아이디어를 추가하며, 코드를 작성하고 풀 리퀘스트를 생성해보세요!

특별 감사

BLUESPAWN을 구축하는 데 도움을 주신 다음 프로젝트에 특별히 감사드립니다.

• Github의 오픈소스 프로젝트 지원, 특히 Github Actions 무제한 사용 기능
• Windows API에 대한 Microsoft의 문서 및 예제
• 국방부 국방정보체계국(DISA)의 STIG 발행 및 Windows 관련 다양한 기술 보안 지침 제공
• @hasherezade의 PE Sieve - 현재 프로세스 분석을 관리합니다.
• VirusTotal의 YARA 프로젝트 - 악성 식별자를 스캔하는 데 사용합니다.
• Yara Rules Project의 Rules 저장소 - 방대한 오픈소스 YARA 규칙 모음을 포함합니다.
• @Neo23x0의 오픈소스 signature-base 프로젝트 - 방대한 YARA 규칙 모음을 포함합니다.
• MITRE의 ATT&CK 프로젝트 - 공격자의 기법을 고려, 문서화 및 분류하기 위한 훌륭한 프레임워크를 제공합니다.
• Red Canary의 Atomic Red Team 및 Invoke-AtomicRedTeam 프로젝트 - 구축 중인 탐지 기능을 테스트하는 데 매우 유용했습니다.
• Amazon의 AWS 오픈소스 이니셔티브 - 팀에 AWS 프로모션 크레딧을 제공하여 BLUESPAWN을 더 잘 연구하고 테스트할 수 있게 해주었습니다.
• NSA 사이버보안국의 Windows 이벤트 전달 지침
• Sean Metcalf의 Active Directory 보안 블로그 ADSecurity
• Geoff Chappell의 Windows 구성 요소 웹사이트
• Matt Graeber의 놀라운 Windows 보안 연구, 특히 Windows 신뢰 서브버팅 논문
• @op7ic의 EDR-Testing-Script 프로젝트
• 일본 컴퓨터 비상 대응팀(JPCERT)의 도구 분석 결과 시트 - 공격자 행동 문서화 및 탐지 기회와의 상관 관계 제공