RedELK

O SIEM da Equipa Vermelha – uma ferramenta para Red Teams para rastrear e alertar sobre atividades da Equipa Azul, bem como melhorar a usabilidade em operações de longo prazo.

1. Usabilidade e visibilidade melhoradas para os operadores da equipa vermelha, criando um local central onde todos os registos operacionais relevantes de múltiplos teamservers são recolhidos e enriquecidos. Isto é excelente para pesquisas históricas dentro da operação, bem como para fornecer uma visão só de leitura da operação (por exemplo, para a Equipa Branca). Especialmente útil para operações com múltiplos cenários, múltiplos teamservers, múltiplos membros e vários meses. Além disso, formas super fáceis de visualizar todos os screenshots, IOCs, saída de keystrokes, etc. \o/
2. Identificar a Equipa Azul tendo um local central onde todos os registos de tráfego dos redirectors são recolhidos e enriquecidos. Usando consultas específicas, agora é possível detetar que a Equipa Azul está a investigar a sua infraestrutura.

Informações de base

Consulte a wiki para obter informações sobre utilização ou um dos posts do blogue ou apresentações listados abaixo:

• Blogue parte 1: Porque precisamos do RedELK
• Blogue parte 2: Colocá-lo a funcionar
• Blogue parte 3: Alcançar supervisão operacional
• SANS Hackfest 2020: Super charge your Red Team with RedELK vídeo e slides
• Hack in Paris 2019: Who watches the Watchmen vídeo e slides
• x33fcon 2019 Catching Blue Team OPSEC failures vídeo e slides
• BruCon 2018: Using Blue Team techniques in Red Team ops vídeo e slides

Instalação

Consulte a wiki para o manual de instalação manual. Existem também playbooks Ansible mantidos por outras pessoas:

• RedELK Server playbook – mantido por um dos desenvolvedores do RedELK
• RedELK Client playbook – mantido por um dos desenvolvedores do RedELK
• ansible-redelk – mantido por curi0usJack/TrustedSec

Visão geral conceptual

Aqui está uma visão geral conceptual de como o RedELK funciona.

Autores e contribuições

Este projeto é desenvolvido e mantido por:

• Marc Smeets (@MarcOverIP no Github e Twitter)
• Mark Bergman (@xychix no Github e Twitter)
• Lorenzo Bernardi (@fastlorenzo no Github e Twitter)
• Geert Smelt (@Anthirian no GitHub, @sme.lt no BlueSky e @gasmelt no Mastodon)

Aceitamos contribuições! As contribuições podem ser tanto em código, como em ideias que possa ter para desenvolvimento futuro, alarmes, melhorias de usabilidade, etc.