RedEye: Visualização de Logs C2 da Red Team

⚠️ Este Repositório está em Modo de Manutenção ⚠️

Este repositório do GitHub não está mais em desenvolvimento ativo. Revisaremos issues e pull requests da comunidade para correções de bugs, mas não consideraremos novas adições de funcionalidades.

RedEye é uma ferramenta analítica de código aberto desenvolvida pela CISA e pelo Pacific Northwest National Laboratory do DOE para auxiliar Red Teams na visualização e relato de atividades de comando e controle. Esta ferramenta permite que um operador avalie e exiba dados complexos, avalie estratégias de mitigação e possibilite uma tomada de decisão eficaz em resposta a uma avaliação da Red Team. A ferramenta analisa logs, como os do Cobalt Strike, e apresenta os dados em um formato de fácil compreensão. Os usuários podem então marcar e adicionar comentários às atividades exibidas na ferramenta. Os operadores podem usar o modo de apresentação do RedEye para apresentar descobertas e fluxo de trabalho às partes interessadas.

RedEye pode ajudar um operador a eficientemente:

• Reproduzir e demonstrar as atividades de avaliação da Red Team como ocorreram, em vez de vasculhar manualmente milhares de linhas de texto de log.
• Exibir e avaliar dados de avaliação complexos para permitir uma tomada de decisão eficaz.
• Obter uma compreensão mais clara do caminho de ataque percorrido e dos hosts comprometidos durante uma avaliação da Red Team ou teste de penetração.

Red Team	Blue Team

Início rápido

1. Baixe os binários mais recentes do RedEye para seu SO* na página de Releases.
2. Escolha um modo e Execute o servidor
   • Modo Red Team habilita o conjunto completo de funcionalidades: fazer upload de logs C2, explorar dados e criar apresentações. Você deve fornecer uma senha para executar no modo Red Team. Para iniciar o servidor no modo Red Team, execute o seguinte em um terminal.
     root@kitploit:~

     ./RedEye --redTeam --password <your_password>
     

   • Modo Blue Team (padrão) habilita uma interface simplificada e somente leitura para revisar campanhas exportadas por uma Red Team. Para iniciar o servidor no modo Blue Team, execute o seguinte em um terminal.
     root@kitploit:~

     ./RedEye   # Ou simplesmente clique duas vezes no executável "RedEye"
     

3. Use o aplicativo web em um navegador em http://127.0.0.1:4000. O binário do RedEye executa como um servidor em uma janela de terminal e abrirá automaticamente a interface do aplicativo web no seu navegador padrão. Você deve fechar a janela do terminal para sair do servidor RedEye.
4. Tente importar o conjunto de dados de exemplo gt.redeye para começar. Ou tente um conjunto de dados de exemplo diferente.

Problema no MacOS - Ao executar o RedEye pela primeira vez, você pode receber um erro "não verificado". Você deve ir em "Preferências do Sistema" > "Segurança e Privacidade" > "Geral" e clicar em "Abrir mesmo assim". Mais informações na página de suporte da Apple.

Siga o Guia do Usuário para aprender sobre o conjunto de funcionalidades do RedEye.

Modos Red Team e Blue Team

RedEye possui dois modos que cobrem duas etapas do processo de Red Teaming. O modo Red Team permite importar dados C2, editar dados importados e fazer comentários e apresentações. Após curar e anotar os dados da campanha, as Red Teams podem exportar sua campanha como um arquivo .redeye independente e entregá-lo a uma Blue Team para relato e remediação. O modo Blue Team executa o RedEye em um modo simplificado somente leitura para visualizar dados curados exportados por uma Red Team.

Nota: Ambos os modos Red Team e Blue Team podem ser iniciados a partir do mesmo binário do aplicativo RedEye.

Red Team

O binário baixado vem em duas partes:

• O binário do aplicativo RedEye
• A pasta parsers contendo binários de analisadores (ex.: cobalt-strike-parser binário analisador de logs do Cobalt Strike)

Existem três opções para executar o RedEye no modo Red Team:

1. Execute o binário baixado, passando as opções --redTeam e password:
   root@kitploit:~

   ./RedEye --redTeam --password <your_password>
   

2. Clone, instale e execute o projeto diretamente (abordado na seção Local Build).
3. Docker Compose
   1. Clone o repositório
   2. Atualize as variáveis de ambiente em docker-compose.yml.
   3. Execute:
      root@kitploit:~

      docker-compose -f docker-compose.yml up -d redeye-core
      

Blue Team

O modo Blue Team é uma interface simplificada e somente leitura para exibir dados que foram curados, anotados e exportados por uma Red Team. Este modo é executado por padrão para tornar a inicialização mais simples para a Blue Team.

A versão Blue Team pode ser executada clicando duas vezes no binário do aplicativo 'RedEye'. O RedEye é executado em http://127.0.0.1:4000 (por padrão) e abrirá automaticamente seu navegador padrão.

Blue Team Presentation Handoff

Se uma pasta campaigns estiver localizada no mesmo diretório que o aplicativo RedEye, o RedEye tentará importar quaisquer arquivos de campanha .redeye dentro dela. Os arquivos de campanha podem ser exportados no modo Red Team.

Para preparar uma versão para a Blue Team, siga estas duas etapas:

1. Copie o binário do aplicativo RedEye para uma pasta vazia.
2. Crie uma pasta campaigns no mesmo diretório e coloque os arquivos de campanha .redeye que deseja enviar dentro dela.

Folder/
	RedEye
	campaigns/
		Campaign-01.redeye
		Campaign-02.redeye

Arquivos .redeye também podem ser carregados no modo Blue Team através do diálogo "+ Adicionar Campanha".

Example Datasets

Existem conjuntos de dados de exemplo neste repositório disponíveis para download. Eles estão localizados na pasta ./applications/redeye-e2e/src/fixtures.

• gtdataset - disponível como gt.redeye e como Logs do Cobalt Strike
• smalldata - disponível como smalldata.redeye e como Logs do Cobalt Strike
• testdata - disponível como Logs do Cobalt Strike

Você pode querer usar uma ferramenta como download-directory.github.io para baixar apenas uma pasta de um repositório do github

Parâmetros do Servidor RedEye

Digite ./Redeye -h para ver as opções

-d, --developmentMode [boolean]  coloca o banco de dados e o servidor em modo de desenvolvimento
-r, --redTeam [boolean]          executa o servidor no modo red team
--port [number]                  a porta na qual o servidor deve ser exposto
-p, --password [string]          a senha para autenticação do usuário
--parsers [string...]            Uma lista de analisadores a serem usados ou uma flag para usar todos os analisadores na pasta parsers
-t, --childProcesses [number]    número máximo de processos filhos que o analisador pode usar
-h, --help                       exibe ajuda para o comando

você também pode configurar os parâmetros do servidor em um arquivo config.json que fica ao lado do binário RedEye

{
	"password": "937038570",
	"redTeam": true,
	"parsers": ["cobalt-strike-parser", "brute-ratel-parser"] // ou true/false
}

Local Build

Pacotes Necessários

• Node.js >= v16
• Instale o yarn: npm install -g yarn
• Execute: yarn install // Instala todos os pacotes
• Execute uma das opções:
  1. yarn release:all para construir um binário para Linux, macOS e Windows
  2. yarn release:(mac|windows|linux) .
• opções de plataforma:
  • mac
  • windows
  • linux

Desenvolvimento

Configuração

Instale Node.js >= v16 Instale yarn globalmente via npm

npm install -g yarn

Instale as dependências dos pacotes

yarn install

Início Rápido do Desenvolvimento

Executa o projeto em modo de desenvolvimento

yarn start

Desenvolvimento Avançado

É recomendado executar o servidor e o cliente em dois terminais separados

yarn start:client

...em outro terminal

yarn start:server

Build

para construir um binário para Linux, macOS e Windows

yarn release:all

para construir para uma plataforma específica, substitua all pelo nome da plataforma

yarn release:(mac|windows|linux)

Platform support

• Linux
  • Ubuntu 18 e mais recentes
  • Kali Linux 2020.1 e mais recentes
  • Outros podem ser suportados, mas não foram testados
• macOS
  • El Capitan e mais recentes
• Windows
  • Windows 7 e mais recentes
  • Suporte ARM é experimental