BLUESPAWN

Status do Código

Nossa Missão

O BLUESPAWN ajuda as equipes azuis a monitorar sistemas em tempo real contra atacantes ativos, detectando atividade anômala.

O que é BLUESPAWN

O BLUESPAWN é uma ferramenta de defesa ativa e detecção e resposta de endpoints que pode ser usada por defensores para detectar, identificar e eliminar rapidamente atividade maliciosa e malware em uma rede.

Participe e Contribua com o projeto

Quer ajudar a tornar o BLUESPAWN ainda mais eficaz na localização e eliminação de malware? Junte-se a nós no Servidor Discord do BLUESPAWN e ajude no desenvolvimento ou mesmo sugira um recurso ou relate um bug. Não é necessária experiência – não há melhor maneira de aprender sobre desenvolvimento ou segurança do que mergulhar de cabeça!

Se você quiser ajudar a contribuir com código, comece conferindo nossa página wiki sobre configuração do ambiente de desenvolvimento. Fique à vontade para nos contatar no Discord se encontrar problemas durante a configuração! Geralmente acompanhamos bugs e novos recursos através de Issues e coordenamos no chat durante o desenvolvimento.

Por que criamos o BLUESPAWN

Criamos e abrimos o código-fonte por várias razões, incluindo:

• Agir Mais Rápido: Queríamos ferramentas especificamente projetadas para identificar rapidamente atividade maliciosa em um sistema
• Conhecer nossa Cobertura: Queríamos saber exatamente o que nossas ferramentas podiam detectar e não depender tanto de software de caixa-preta (ex: programas antivírus). Essa abordagem nos ajuda a focar melhor nossos esforços em linhas específicas e ter confiança no status das demais.
• Melhor Compreensão: Queríamos entender melhor a superfície de ataque do Windows para defendê-lo melhor
• Mais Software Open-Source para Equipes Azuis: Embora existam muitas ferramentas Red Team open-source, a grande maioria das melhores ferramentas Blue Team são fechadas (ex: AVs, EDRs, SysInternals, etc). Não deveríamos precisar confiar em segurança por obscuridade para prevenir agentes maliciosos (obviamente muito difícil, mas é algo a se buscar!)
• Demonstrar Recursos das APIs do Sistema Operacional: Examinamos uma tonelada de documentação da Microsoft, respostas do StackOverflow e mais para criar isso. Esperamos que outros possam achar parte do código útil.

Cobertura do MITRE ATT&CK

Visite este mapa para ver as capacidades atuais de cobertura

Experimente o BLUESPAWN

Nota: O BLUESPAWN está em desenvolvimento alfa ativo, portanto muitos recursos podem não funcionar como esperado e as detecções podem ser muito restritas ou gerar muitos falsos positivos.

Nota 2: O BLUESPAWN deve ser executado por um profissional de segurança na maioria dos casos e, como tal, detectará atividade não maliciosa às vezes. Embora o BLUESPAWN ajude a identificar rapidamente coisas potencialmente ruins, ele espera que o usuário use as informações disponíveis para tomar a decisão final.

0. Confira as páginas Wiki para saber mais sobre as opções de linha de comando, exemplos e mais.
1. Baixe a versão mais recente em esta página
2. Abra um Prompt de Comando Administrativo
3. Execute o seguinte comando para ver as opções disponíveis

.\BLUESPAWN-client-x64.exe --help

Modo Mitigate

4. Execute o seguinte no Prompt de Comando Administrativo para auditar seu sistema quanto à presença de muitas configurações de segurança

.\BLUESPAWN-client-x64.exe --mitigate --action=audit

Modo Hunt

5. Execute o BLUESPAWN no Prompt de Comando Administrativo para caçar atividade maliciosa no sistema

.\BLUESPAWN-client-x64.exe --hunt -a Cursory --log=console,xml

Modo Monitor

6. Execute o BLUESPAWN no Prompt de Comando Administrativo para monitorar atividade maliciosa no sistema

.\BLUESPAWN-client-x64.exe --monitor -a Cursory --log=console,xml

Linhas de Esforço

O BLUESPAWN consiste em 3 modos principais listados abaixo. Vários desses módulos possuem submódulos (que podem ainda não estar criados no código) conforme listado, e todos estão em diferentes estágios de planejamento, pesquisa e desenvolvimento. Além disso, são suportados por vários outros módulos.

• Hunt (Caça por evidências de comportamento malicioso)

• Mitigate (Mitiga vulnerabilidades aplicando configurações de segurança)

• Monitor (Monitora continuamente o sistema em busca de comportamento potencialmente malicioso)

• Scan (Usado para avaliar itens identificados pelas caças e decidir se é suspeito/malware)

• User (Contém a main do programa, IOBase e outras funções similares)

• Util (Contém uma coleção de módulos que suportam operações principais)

  • Configurations
  • Event Logs
  • File System
  • Log
  • PEs
  • Processes

Palestras, Publicações e Outras Menções

Aqui estão alguns lugares onde você pode ter ouvido falar do projeto :)

DEFCON 28 Blue Team Village - Visão Geral, Slides

National Collegiate Cyber Defense Competition, 2020 Red Team Debrief - Youtube

Artigo de Pesquisa do BLUESPAWN na UVA - Paper, DOI 10.18130/v3-b1n6-ef83

Contate-nos

Se tiver alguma dúvida, comentário ou sugestão, fique à vontade para nos enviar um e-mail para [email protected] ou nos enviar uma mensagem no Servidor Discord do BLUESPAWN.

Licenciamento e Conformidade

O código principal do BLUESPAWN está licenciado sob a GNU General Public License (GPL) v3.0.

Note que o projeto integra várias outras bibliotecas para fornecer recursos/detecções adicionais. Uma delas é a signature-base de Florian Roth, licenciada sob a Creative Commons Attribution-NonCommercial 4.0 International License. Regras YARA deste projeto são integradas à construção padrão sem quaisquer alterações. Para usar o BLUESPAWN para fins comerciais, você deve remover tudo abaixo da linha "Non-Commercial Only" em este arquivo e recompilar o projeto.

Autores do Projeto

Feito com ❤️ pela Equipe de Defesa Cibernética da UVA e outras pessoas incríveis da equipe principal de desenvolvimento listadas abaixo

• Jake Smith (Github, Twitter)
• Jack McDowell (Github)
• Calvin Krist (Github, Twitter)
• Will Mayes (Github, Twitter)
• David Smith (Github)
• Aaron Gdanski (Github)
• Grant Matteo (Github)

Contribuidores

Agradecemos a todas as pessoas listadas abaixo por suas contribuições ao BLUESPAWN!

• Alexander Kluth (Github)
• Yehuda Hido Cohen (Github)

Quer ajudar? Dê uma olhada nas issues atuais, adicione ideias para novos recursos, escreva código e crie um pull request!

Agradecimentos Especiais

Gostaríamos de agradecer especialmente aos seguintes projetos que nos ajudaram a construir o BLUESPAWN:

• O suporte do Github a projetos open-source, especialmente a possibilidade de uso ilimitado do Github Actions
• A documentação e exemplos da Microsoft sobre a API do Windows
• A Defense Information Systems Agency (DISA) do Departamento de Defesa por seu excelente trabalho na publicação de STIGs e várias outras orientações técnicas de segurança para o Windows.
• PE Sieve de @hasherezade, que atualmente gerencia nossa análise de processos
• O projeto YARA do VirusTotal, que usamos para escanear dados em busca de identificadores maliciosos
• O repositório Rules do Yara Rules Project, que contém uma grande coleção de regras YARA open-source
• O projeto open-source signature-base de @Neo23x0, que contém uma grande coleção de regras YARA
• O Projeto ATT&CK do MITRE, que montou um framework incrível para considerar, documentar e categorizar as táticas dos atacantes
• Os projetos Atomic Red Team e Invoke-AtomicRedTeam da Red Canary, que foram incrivelmente úteis para testar as detecções que estamos construindo
• A Open Source at AWS Initiative da Amazon, que forneceu à nossa equipe alguns créditos promocionais da AWS para nos ajudar a pesquisar e testar melhor o BLUESPAWN
• A orientação de Encaminhamento de Eventos do Windows da NSA Cybersecurity Directorate
• O blog de Segurança do Active Directory ADSecurity de Sean Metcalf
• O site de Geoff Chappell sobre componentes do Windows
• A incrível pesquisa de segurança do Windows de , incluindo seu artigo