RedELK

Red Team을 위한 SIEM — Blue Team 활동을 추적하고 경고하며 장기 작전에서 향상된 사용성을 제공하는 Red Team용 도구입니다.

1. 향상된 사용성과 개요 — 여러 팀 서버의 모든 관련 운영 로그를 수집 및 보강하여 중앙 집중식 장소를 제공합니다. 이는 작전 내에서 과거 검색에 유용할 뿐만 아니라 작전에 대한 읽기 전용 보기를 제공합니다(예: White Team용). 특히 다중 시나리오, 다중 팀 서버, 다중 멤버 및 다중 개월 작전에 유용합니다. 또한 모든 스크린샷, IOCs, 키스트로크 출력 등을 매우 쉽게 볼 수 있습니다. \o/
2. Blue Team 포착 — 리다이렉터의 모든 트래픽 로그를 수집 및 보강하여 중앙 집중식 장소를 제공합니다. 특정 쿼리를 사용하면 Blue Team이 인프라를 조사하고 있는지 감지할 수 있습니다.

배경 정보

사용법에 대한 자세한 내용은 wiki 또는 아래 블로그 게시물이나 프레젠테이션을 확인하세요.

• 블로그 1부: RedELK가 필요한 이유
• 블로그 2부: 시작하기
• 블로그 3부: 운영 가시성 달성
• SANS Hackfest 2020: RedELK로 Red Team 강화하기 동영상 및 슬라이드
• Hack in Paris 2019: 감시자를 감시하는 자 동영상 및 슬라이드
• x33fcon 2019: Blue Team OPSEC 실패 포착하기 동영상 및 슬라이드
• BruCon 2018: Red Team 작전에서 Blue Team 기법 사용하기 동영상 및 슬라이드

설치

수동 설치 방법은 wiki를 확인하세요. 다른 사람이 유지 관리하는 Ansible 플레이북도 있습니다.

• RedELK 서버 플레이북 — RedELK 개발자 중 한 명이 유지 관리
• RedELK 클라이언트 플레이북 — RedELK 개발자 중 한 명이 유지 관리
• ansible-redelk — curi0usJack/TrustedSec이 유지 관리

개념적 개요

다음은 RedELK가 어떻게 작동하는지에 대한 개념적 개요입니다.

작성자 및 기여

이 프로젝트는 다음 사람들이 개발 및 유지 관리하고 있습니다.

• Marc Smeets (GitHub의 @MarcOverIP, Twitter의 @MarcOverIP)
• Mark Bergman (GitHub의 @xychix, Twitter의 @xychix)
• Lorenzo Bernardi (GitHub의 @fastlorenzo, Twitter의 @fastlorenzo)
• Geert Smelt (GitHub의 @Anthirian, BlueSky의 @sme.lt, Mastodon의 @gasmelt)

기여를 환영합니다! 코드 형태의 기여뿐만 아니라 추가 개발, 알람, 사용성 개선 등에 대한 아이디어도 환영합니다.