redsiege/egress-assess다중 프로토콜 데이터 유출 테스트 도구로, FTP, HTTP, HTTPS, DNS, ICMP, SMB, SMTP, SFTP를 통해 실제 환경의 이그레스 시나리오를 시뮬레이션하여 탐지 능력을 검증합니다.
Egress-Assess는 egress 데이터 탐지 기능을 테스트하는 도구입니다.
설정하려면 포함된 설정 스크립트를 실행하거나 다음을 수행하십시오:
openssl req -new -x509 -keyout server.pem -out server.pem -days 365 -nodes
블로그 게시물은 다음에서 확인할 수 있습니다:
Egress-Assess의 일반적인 사용 사례는 이 도구를 두 위치에 복사하는 것입니다. 한 위치는 서버 역할을 하고 다른 위치는 클라이언트 역할을 합니다. Egress-Assess는 FTP, HTTP 및 HTTPS를 통해 데이터를 전송할 수 있습니다.
FTP를 통해 데이터를 추출하려면 먼저 "--server ftp"를 선택하고 사용할 사용자 이름과 비밀번호를 제공하여 Egress-Assess의 FTP 서버를 시작합니다:
./Egress-Assess.py --server ftp --username testuser --password pass123
이제 클라이언트가 FTP 서버에 연결하여 데이터를 보내려면 다음을 실행할 수 있습니다...
./Egress-Assess.py --client ftp --username testuser --password pass123 --ip 192.168.63.149 --datatype ssn
또한 다음을 실행하여 Egress-Assess를 웹 서버로 설정할 수 있습니다....
./Egress-Assess.py --server https
그런 다음 FTP 서버에 데이터를 보내고 특히 15MB의 신용카드 데이터를 보내려면 다음 명령을 실행하십시오...
./Egress-Assess.py --client https --data-size 15 --ip 192.168.63.149 --datatype cc
기타 참고 사항:
SMTP - 클라이언트는 데이터를 메시지 본문에 배치하거나 파일인 경우 첨부 파일로 메일 메시지를 생성합니다. 그런 다음 클라이언트는 포트 25(또는 제공된 대체 포트)를 통해 EgressAssess 서버에 SMTP 연결을 시도합니다. SMTP 서버는 인증을 요구하지 않으며 들어오는 연결을 수락하고 이메일을 처리합니다. 메일 처리 과정에서는 이메일 본문 또는 첨부 파일에서 데이터를 가져옵니다. 이 테스트는 조직의 이메일 서버를 통해 이메일을 보내려고 시도하지 않습니다.
SMTP_Outlook – (이 모듈은 PowerShell 클라이언트에서만 사용할 수 있습니다). Outlook 클라이언트가 미리 구성된 경우 PowerShell 클라이언트는 Outlook에 대한 COM 개체를 만듭니다(구성에 따라 사용자가 인증을 제공해야 할 수 있음). 그런 다음 PowerShell 클라이언트는 데이터를 이메일 본문에 배치하거나 파일인 경우 첨부 파일로 메일 메시지를 생성합니다. 이메일은 미리 구성된 사용자로 Outlook에서 전송됩니다. (일부 보안 설정은 프로그램이 백그라운드에서 이메일을 보내려고 한다는 알림을 사용자에게 표시하고 허용을 선택해야 할 수 있습니다). 이 모듈이 작동하려면 EgressAssess 서버에 대한 MX 레코드를 생성해야 합니다. EgressAssess SMTP 서버는 MX 레코드 도메인으로 전송된 모든 이메일 메시지를 수락하고 파일 첨부 파일 또는 이메일 본문의 테스트 데이터가 포함된 이메일을 수신합니다.
Invoke-EssessAgress -Client SMTPOutlook -IP <domain of SMTP Sever> -NoPing -DataType "ssn"
ICMP - 데이터는 바이트 단위로 분할되어 base64로 인코딩되고 ICMP Type 8 ECHO 요청으로 전송됩니다. 데이터는 패킷의 데이터 필드 안에 배치됩니다. ECHO 요청은 EgressAssess 서버에 지속적으로 전송되며, 서버는 ICMP 요청을 수신하여 데이터를 수집하고 디코딩합니다.
FTP - 데이터와 파일은 일반적인 프로토콜 사용 방식에 따라 EgressAssess FTP 서버에 업로드됩니다. 서버에 접근하려면 사용자 이름과 비밀번호가 사용됩니다. 위의 예시를 참조하십시오.
SFTP - 데이터와 파일은 SFTP 프로토콜을 따라 업로드됩니다. 서버에 접근하려면 사용자 이름과 비밀번호가 사용됩니다.
HTTP(S) - 데이터와 파일은 POST 웹 요청을 통해 EgressAssess 웹 서버로 전송됩니다. Python 클라이언트의 경우 데이터는 http(s):///post_data.php로 전송되고, PowerShell 클라이언트의 경우 데이터는 http(s):///posh_file.php로 전송됩니다.
SMB - EgressAssess 서버(Impacket의 SimpleSMBserver 사용)는 /TRANSFER SMB 공유를 생성합니다. 클라이언트 시스템은 인증 없이 공유에 연결하여 파일을 전송합니다. 네트워크 공유에 연결하여 파일을 복사하는 것과 같습니다. 원하는 경우 인증을 위해 사용자 이름과 비밀번호를 추가하는 옵션도 있습니다. 위에서 언급했듯이, 데이터 유출을 수행하는 시스템과 해당 보안 정책을 확인하여 취약한 이전 SMBv1을 사용할 수 있는지 또는 SMBv2를 활성화해야 하는지 결정하십시오.
DNS_TXT - 데이터와 파일은 바이트 단위로 분할된 후 base64로 변환되고 IP 주소 또는 도메인 이름으로 전송되는 별도의 DNS TXT 쿼리로 청크됩니다. 클라이언트는 EgressAssess 서버에 직접 연결하여 DNS TXT 쿼리를 수행합니다. 그러면 서버는 패킷에서 데이터를 필터링하고 디코딩합니다. PowerShell 클라이언트에는 스택 쿼리(Stacked queries) 옵션이 있습니다. 이 옵션은 서버의 각 DNS 요청에서 최대 7개의 TXT 쿼리를 만들어 데이터 유출 속도를 높입니다.
DNS_Resolved - 데이터와 파일은 바이트 단위로 분할된 후 base64로 변환됩니다. 그런 다음 데이터는 청크로 분할되어 서브도메인을 확인하기 위한 DNS 요청의 일부로 사용됩니다. <encoded_data>.domain.com. 이 기능이 작동하려면 도메인의 NS 레코드가 EgressAssess 서버에 대해 설정되어야 합니다. 모든 DNS 요청은 시스템의 설정된 네임서버로 전송되며 궁극적으로 이전에 설정된 EgressAssess 서버에 도달합니다. EgressAssess 서버는 각 요청에서 데이터 섹션을 가져와 파일을 다시 조합합니다.
