Coleta e Enriquecimento Automatizados

A plataforma Coleta e Enriquecimento Automatizados (ACE) é um conjunto de ferramentas para caçadores de ameaças coletarem dados de vários endpoints em uma rede e enriquecerem automaticamente os dados. Os dados são coletados executando scripts em cada computador sem instalar nenhum software no alvo. ACE suporta coleta de hosts Windows, macOS e Linux.

ACE visa simplificar o processo de coleta remota de dados em um ambiente, oferecendo gerenciamento de credenciais, agendamento, gerenciamento centralizado de scripts e download remoto de arquivos. ACE é projetado para complementar um SIEM, coletando e enriquecendo dados; a análise final é mais adequada para ferramentas SIEM como Splunk, ELK, ou as ferramentas que o analista prefere.

Por que usar ACE?

ACE surgiu da necessidade de realizar Avaliações de Comprometimento em lugares com restrições comuns:

• Um agente de software dedicado não pode ser instalado nos hosts alvo.
• Copiar e executar executáveis (como ferramentas Sysinternals) não é viável.
• O cliente não pode habilitar o Windows Remoting (WinRM).
• A visibilidade do cliente sobre hosts macOS/Linux é limitada ou inexistente.
• Novos scripts/ferramentas devem ser criados para dados específicos do cliente.
• A segmentação de rede requer múltiplas credenciais para acessar todas as máquinas no ambiente.

Instalação/Qual é a arquitetura do ACE?

ACE tem quatro componentes: o ACE Web Service, o proxy web ACE Nginx, o banco de dados ACE SQL e a fila de mensagens ACE RabbitMQ. O Web Service é uma API RESTful que recebe solicitações de clientes para agendar e gerenciar varreduras. O banco de dados SQL armazena a configuração e os dados das varreduras. O serviço RabbitMQ lida com o enriquecimento automatizado dos dados.

1. Identifique o endereço IP tanto do seu host Docker Linux quanto do seu host Windows.

Imagens Docker ACE

ACEWebService

1. Baixe o script Configure-AceWebService.ps1 da página de Releases

Uso/Como eu uso o ACE?

O repositório ACE inclui uma coleção de scripts PowerShell para interagir com o ACE Web Service, incluindo adicionar usuários, gerenciar credenciais, enviar scripts de coleta e agendar varreduras.

Após implantar os servidores ACE, use New-AceUser para criar um novo usuário ACE.

Remova o usuário padrão 'Admin' com Remove-AceUser.

Use New-AceCredential para inserir um conjunto de credenciais.

Execute Start-AceDiscovery para encontrar automaticamente computadores no domínio Windows.

Execute Start-AceSweep para iniciar uma varredura e executar os scripts selecionados nos endpoints descobertos.

Mais Recursos

• Wiki do ACE no GitHub
• Slides do BlackHat Arsenal do ACE

Contribuição

Contribuições para o ACE são sempre bem-vindas.