RedEye: Visualização de Logs C2 da Red Team

---

⚠️ Este Repositório está em Modo de Manutenção ⚠️

Este repositório do GitHub não está mais em desenvolvimento ativo. Revisaremos issues e pull requests da comunidade para correções de bugs, mas não consideraremos novas adições de funcionalidades.

---

RedEye é uma ferramenta analítica de código aberto desenvolvida pela CISA e pelo Pacific Northwest National Laboratory do DOE para auxiliar Red Teams na visualização e relato de atividades de comando e controle. Esta ferramenta permite que um operador avalie e exiba dados complexos, avalie estratégias de mitigação e possibilite uma tomada de decisão eficaz em resposta a uma avaliação da Red Team. A ferramenta analisa logs, como os do Cobalt Strike, e apresenta os dados em um formato de fácil compreensão. Os usuários podem então marcar e adicionar comentários às atividades exibidas na ferramenta. Os operadores podem usar o modo de apresentação do RedEye para apresentar descobertas e fluxo de trabalho às partes interessadas.

RedEye pode ajudar um operador a eficientemente:

• Reproduzir e demonstrar as atividades de avaliação da Red Team como ocorreram, em vez de vasculhar manualmente milhares de linhas de texto de log.
• Exibir e avaliar dados de avaliação complexos para permitir uma tomada de decisão eficaz.
• Obter uma compreensão mais clara do caminho de ataque percorrido e dos hosts comprometidos durante uma avaliação da Red Team ou teste de penetração.

Red Team	Blue Team

Início rápido

1. Baixe os binários mais recentes do RedEye para seu SO* na página de Releases.
2. Escolha um modo e Execute o servidor
   • Modo Red Team habilita o conjunto completo de funcionalidades: fazer upload de logs C2, explorar dados e criar apresentações. Você deve fornecer uma senha para executar no modo Red Team. Para iniciar o servidor no modo Red Team, execute o seguinte em um terminal.

     ./RedEye --redTeam --password <your_password>
     

   • Modo Blue Team (padrão) habilita uma interface simplificada e somente leitura para revisar campanhas exportadas por uma Red Team. Para iniciar o servidor no modo Blue Team, execute o seguinte em um terminal.

     ./RedEye   # Ou simplesmente clique duas vezes no executável "RedEye"
     

3. Use o aplicativo web em um navegador em http://127.0.0.1:4000. O binário do RedEye executa como um servidor em uma janela de terminal e abrirá automaticamente a interface do aplicativo web no seu navegador padrão. Você deve fechar a janela do terminal para sair do servidor RedEye.
4. Tente importar o conjunto de dados de exemplo gt.redeye para começar. Ou tente um conjunto de dados de exemplo diferente.

Problema no MacOS - Ao executar o RedEye pela primeira vez, você pode receber um erro "não verificado". Você deve ir em "Preferências do Sistema" > "Segurança e Privacidade" > "Geral" e clicar em "Abrir mesmo assim". Mais informações na página de suporte da Apple.

Siga o Guia do Usuário para aprender sobre o conjunto de funcionalidades do RedEye.

---

Modos Red Team e Blue Team

RedEye possui dois modos que cobrem duas etapas do processo de Red Teaming. O modo Red Team permite importar dados C2, editar dados importados e fazer comentários e apresentações. Após curar e anotar os dados da campanha, as Red Teams podem exportar sua campanha como um arquivo .redeye independente e entregá-lo a uma Blue Team para relato e remediação. O modo Blue Team executa o RedEye em um modo simplificado somente leitura para visualizar dados curados exportados por uma Red Team.

Nota: Ambos os modos Red Team e Blue Team podem ser iniciados a partir do mesmo binário do aplicativo RedEye.

Red Team

O binário baixado vem em duas partes:

• O binário do aplicativo RedEye
• A pasta parsers contendo binários de analisadores (ex.: cobalt-strike-parser binário analisador de logs do Cobalt Strike)

Existem três opções para executar o RedEye no modo Red Team:

1. Execute o binário baixado, passando as opções --redTeam e password:

   ./RedEye --redTeam --password <your_password>
   

2. Clone, instale e execute o projeto diretamente (abordado na seção Local Build).
3. Docker Compose
   1. Clone o repositório
   2. Atualize as variáveis de ambiente em docker-compose.yml.
   3. Execute:

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

O modo Blue Team é uma interface simplificada e somente leitura para exibir dados que foram curados, anotados e exportados por uma Red Team. Este modo é executado por padrão para tornar a inicialização mais simples para a Blue Team.

A versão Blue Team pode ser executada clicando duas vezes no binário do aplicativo 'RedEye'. O RedEye é executado em http://127.0.0.1:4000 (por padrão) e abrirá automaticamente seu navegador padrão.

Blue Team Presentation Handoff

Se uma pasta campaigns estiver localizada no mesmo diretório que o aplicativo RedEye, o RedEye tentará importar quaisquer arquivos de campanha .redeye dentro dela. Os arquivos de campanha podem ser exportados no modo Red Team.

Para preparar uma versão para a Blue Team, siga estas duas etapas:

1. Copie o binário do aplicativo RedEye para uma pasta vazia.
2. Crie uma pasta campaigns no mesmo diretório e coloque os arquivos de campanha .redeye que deseja enviar dentro dela.

Folder/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

Arquivos .redeye também podem ser carregados no modo Blue Team através do diálogo "+ Adicionar Campanha".

Example Datasets

Existem conjuntos de dados de exemplo neste repositório disponíveis para download. Eles estão localizados na pasta ./applications/redeye-e2e/src/fixtures.

• gtdataset - disponível como gt.redeye e como Logs do Cobalt Strike
• smalldata - disponível como smalldata.redeye e como Logs do Cobalt Strike
• testdata - disponível como Logs do Cobalt Strike

Você pode querer usar uma ferramenta como download-directory.github.io para baixar apenas uma pasta de um repositório do github