caronte$

Caronte é uma ferramenta para analisar o fluxo de rede durante eventos de capture the flag do tipo ataque/defesa. Ela remonta pacotes TCP capturados em arquivos pcap para reconstruir conexões TCP, e analisa cada conexão para encontrar padrões definidos pelo usuário. Os padrões podem ser definidos como regex ou usando regras específicas de protocolo. Os fluxos de conexão são salvos em um banco de dados e podem ser visualizados com a aplicação web. APIs REST também são fornecidas.

Funcionalidades

• instalação imediata com docker-compose
• sem arquivo de configuração, as configurações podem ser alteradas via GUI ou API
• os pcaps a serem analisados podem ser carregados via curl, local ou remotamente, ou via GUI
  • também é possível baixar os pcaps da GUI e ver todas as estatísticas de análise para cada pcap
• regras podem ser criadas para identificar conexões que contenham certas strings
  • a correspondência de padrões é feita através de expressões regulares (regex)
  • regex em formato UTF-8 e Unicode também são suportados
• conexões podem ser rotuladas por tipo de serviço, identificado pelo número da porta
  • cada serviço pode receber uma cor diferente
• capacidade de filtrar conexões por endereços, portas, dimensões, tempo, duração, regras correspondidas
• uma linha do tempo mostra estatísticas com diferentes métricas amostradas por minuto
  • algumas dessas métricas são connections_per_service, client_bytes_per_service, server_bytes_per_service, duration_per service, matched_rules
    • com a métrica matched_rules é possível ver a relação entre flag_in e flag_out
  • a linha do tempo contém uma janela deslizante que pode ser usada para pesquisar conexões em um certo intervalo de tempo
• pesquisa avançada por termo, termo negado, frase exata, regex, regex negado
  • as pesquisas realizadas são salvas para serem repetidas instantaneamente nas próximas vezes
• as conexões HTTP detectadas são automaticamente reconstruídas
  • requisições HTTP podem ser replicadas através de curl, fetch e python requests
  • respostas HTTP comprimidas (gzip/deflate) são automaticamente descomprimidas
• capacidade de exportar e visualizar o conteúdo das conexões em vários formatos, incluindo hex e base64

Instalação

Existem duas formas de instalar o Caronte:

• com Docker e docker-compose, a forma mais rápida e fácil
• instalando dependências manualmente e compilando o projeto

Executar com Docker

As únicas coisas a fazer são:

• clonar o repositório, com git clone https://github.com/eciavatta/caronte.git
• dentro da pasta caronte, execute docker-compose up -d
• aguarde a imagem ser compilada e abra o navegador em http://localhost:3333

Instalação manual

A primeira coisa a fazer é instalar as dependências:

• go >= 1.14 https://golang.org/doc/install
• node >= v12 https://nodejs.org/it/download/
• yarnpkg https://classic.yarnpkg.com/en/docs/install/
• hyperscan >= v5 https://www.hyperscan.io/downloads/

Em seguida, você precisa compilar o projeto, que é composto por duas partes:

• o backend, que pode ser compilado com go mod download && go build
• o frontend, que pode ser compilado com cd frontend && yarn install && yarn build

Antes de executar o Caronte, inicie uma instância do MongoDB https://docs.mongodb.com/manual/administration/install-community/ que não tem autenticação. Tenha cuidado para não expor a porta do MongoDB na interface pública.

Execute o binário com ./caronte. As opções de configuração disponíveis são:

-bind-address    address where server is bind (default "0.0.0.0")
-bind-port       port where server is bind (default 3333)
-db-name         name of database to use (default "caronte")
-mongo-host      address of MongoDB (default "localhost")
-mongo-port      port of MongoDB (default 27017)

Configuração

A configuração ocorre em tempo de execução na primeira inicialização via interface gráfica ou API. É necessário configurar:

• o server_address: o endereço IP da máquina vulnerável. Deve ser o endereço de destino de todas as conexões nos pcaps. Se cada serviço vulnerável tiver seu próprio IP, este parâmetro também aceita um endereço CIDR. O endereço pode ser IPv4 ou IPv6.
• o flag_regex: a expressão regular que corresponde a uma flag. Geralmente fornecida na página de regras da competição.
• auth_required: se verdadeiro, uma autenticação básica é ativada para proteger o analisador.
• um array opcional accounts, que contém as credenciais dos usuários autorizados.

Documentação

O backend, escrito em linguagem Go, é projetado como um serviço. Ele expõe APIs REST que são usadas pelo frontend escrito em React. A lista de APIs disponíveis com sua explicação está disponível aqui: https://app.swaggerhub.com/apis-docs/eciavatta/caronte/WIP

Capturas de tela

Abaixo estão algumas capturas de tela mostrando os principais recursos da ferramenta.

Janela principal, com lista de conexões e conteúdo do fluxo

Janela principal, com a linha do tempo expandida

Visualização de regras e serviços

Visualização de pesquisas e pcaps

Licença

caronte foi criado por Emiliano Ciavatta e está licenciado sob a licença GPL-3.0.