RE:TERNAL

---

---

Nota: Ainda em desenvolvimento, use apenas para testes e não exponha interfaces! O compose atual ainda não funciona, tente apenas se souber o que está fazendo

RE:TERNAL é um serviço centralizado de orquestração de purple team para gerenciar frameworks C2 de terceiros. Agentes são instalados em endpoints para executar várias técnicas conhecidas de red team, a fim de testar as capacidades de blue team. As simulações são mapeadas para o framework MITRE ATT&CK. Este repositório contém o arquivo compose para configurar a plataforma reternal via docker.

Há uma pré-visualização pública disponível executando a versão mais recente em @ https://reternal.d3vzer0.com (login GitHub necessário). A execução/salvamento de campanhas e a interação com os módulos C2 estão desabilitados (por razões óbvias ;)).

Componentes do Reternal

Instalação e Configuração

Este repositório contém playbooks de implantação Ansible para automatizar a instalação e configuração local ou remota do Reternal. O guia pode ser encontrado na Wiki do repositório em @ https://github.com/d3vzer0/reternal-quickstart/wiki.

Desenvolvedores e Contato

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

Qual é a história do nome?

Este projeto foi re-desenvolvido tantas vezes que provavelmente nunca será realmente finalizado. Daí RE (Refazer) e Ternal (Eterno).

Agradecimentos Especiais

• Rabobank DeTTECT - Framework para mapear sua cobertura de logs contra MITRE ATT&CK. Utilizou os fundamentos para a classificação interna de cobertura e sugestões de cenários: https://github.com/rabobank-cdc/DeTTECT
• MITRE ATT&CK - Framework usado para mapear simulações: https://attack.mitre.org/wiki/Main_Page
• Uber Metta - Usando templates do Metta para técnicas MITRE com pequenos ajustes (opcionais) no formato purple_action: https://github.com/uber-common/metta
• https://github.com/olafhartong/sysmon-modular - Aplicativo Splunk com consultas prontas para caçar eventos maliciosos baseados em Sysmon
• https://www.splunksecurityessentials.com/ - Aplicativo Splunk essencial para estender suas capacidades atuais de detecção. O aplicativo analisa os sourcetypes disponíveis e fornece dicas/truques adequados para melhorar o uso geral do Splunk para Caça e Detecção.

Exemplos e capturas de tela

Todos os recursos serão documentados na página de Boas-Vindas da Wiki em @ https://github.com/d3vzer0/reternal-quickstart/wiki. Abaixo estão alguns exemplos dos principais componentes.

Mapeamento de Ator / Técnica

O Reternal mapeia automaticamente comandos e técnicas disponíveis para atores. Você pode adicionar diretamente todas as técnicas comumente usadas por atores ao seu conjunto de tarefas.

Construtor de Receita / Grafo

Agendar tarefas para serem executadas em um agente é chamado de grafo. Você pode adicionar comandos manuais a um grafo ou selecionar uma das técnicas mapeadas existentes ou TTPs de atores. Você pode arrastar/soltar para alterar a ordem das tarefas em seu grafo.

Interação com C2

O Reternal atua como uma peça de middleware e interage com frameworks C2 externos. Um exemplo é mostrado abaixo de como o Reternal gerencia listeners externos e gera stagers.

Classificação de cobertura (baseado no Rabo DeTTECT)

Sincronize automaticamente as fontes de dados disponíveis com seu ambiente Splunk ou adicione fontes de log manualmente. O Reternal sugerirá campanhas específicas para executar com base em sua classificação de cobertura.

Com uma visão geral da sua cobertura comparada a todas as técnicas ATT&CK:

Caças Integradas

Além disso, uma lista de consultas Splunk é incluída para validar automaticamente as simulações. Em breve (tm) a campanha agendada executará automaticamente consultas relevantes e apresentará um relatório detalhado contendo os achados (ex.: hora em que o ataque foi realizado vs. hora da detecção etc.)

Estado da campanha e painel

O painel principal exibe o estado de suas campanhas em execução e mostra a cobertura esperada de suas fontes de dados vs. técnicas