AutoResponder

Ferramenta de IR do Carbon Black Response para caçar ameaças em um ambiente

O que é?

AutoResponder é uma ferramenta criada para ajudar as pessoas a realizar suas tarefas de Incident Response COM a ajuda das incríveis capacidades do Carbon Black Response e SEM incomodar muito as Equipes de TI/Sistemas/Rede.

O que ela pode fazer?

Para quem é?

Como?

Para quem não está familiarizado com o Carbon Black Response, é um produto bastante incrível que oferece uma solução para casos de Incident Response de uma maneira única e fantástica. O Carbon Black Response possui uma integração de API python que ajuda as pessoas a automatizar suas tarefas — economizando muito tempo. Então tudo que você vê neste projeto é apenas mágica da API python — nada mais, nada menos.

Mas por que..?

Nos últimos meses, houve muitos casos de Incident Response que nossa equipe teve que lidar. Embora tenhamos passado por isso como um campeão, percebi que nossa equipe estava com dificuldades para se comunicar com as Equipes de TI/Sistemas/Rede do cliente e, quando conseguiam, uma única busca de arquivo resultava em semanas. Como somos parceiros de Incident Response da Carbon Black e porque usamos intensamente o Carbon Black Response na maioria dos casos em que estamos envolvidos, decidi escrever uma ferramenta para ajudar nossa equipe a realizar tarefas MUITO grandes em um tempo muito curto com o mínimo de ajuda de outros.

Qual é o grande problema? Existem outras ferramentas e pessoas para isso

Justo. Agora, imagine um cenário onde centenas de endpoints foram comprometidos, o atacante estabeleceu persistência em todos eles e deixou uma tonelada de arquivos. E que coincidência — toda a equipe de TI decidiu sair de férias sem deixar ninguém no escritório para lidar com o Incidente, e o Administrador de Domínio quer registrar um pedido para cada tecla pressionada em seu teclado — eliminando sua capacidade de identificar e erradicar ameaças em sistemas comprometidos. Boa sorte! (História verdadeira, a propósito)

Como posso usá-la?

O código foi escrito em python3, então qualquer versão acima da 3.4 funcionará bem.

1. Baixe o arquivo zip ou faça um git clone
2. Instale os módulos necessários com pip3 install -r requirements.txt
3. Configure a API do Carbon Black => https://cbapi.readthedocs.io/en/latest/
4. Mande ver

Escaneamento THOR

Para escanear o repositório de binários com THOR, você só precisa:

1. Obter o pacote linux do THOR
2. Adicionar a licença válida (Licença de Trial não é suportada)
3. Enviar o diretório THOR para o servidor CBR que você deseja escanear (Master em um único servidor e Minion em um ambiente clusterizado)
4. Executar o módulo run-thor

Agradecimentos especiais

Um grande agradecimento a https://twitter.com/harunglec por ajudar com o módulo de multithreading.

Você pode escanear todo o repositório de binários contendo arquivos executáveis coletados pelo CBR com o THOR APT Scanner. https://twitter.com/thor_scanner

P.S.

Isto é apenas um código python — o que significa que sinta-se à vontade para modificá-lo conforme suas necessidades. Por favor, reporte quaisquer problemas em => https://github.com/lawiet47/autoresponder/issues

Os módulos atuais foram todos testados em sensores que possuem Windows como sistema operacional. Mas você pode tentar também no linux.