Manuka

Descrição

Manuka é um honeypot de inteligência de fontes abertas (OSINT) que monitora tentativas de reconhecimento por atores de ameaças e gera inteligência acionável para os Blue Teams. Ele cria um ambiente simulado composto por fontes OSINT encenadas, como perfis de redes sociais e credenciais vazadas, e rastreia sinais de interesse adversário, alinhando-se de perto à estrutura PRE-ATT&CK da MITRE. Manuka proporciona aos Blue Teams visibilidade adicional da fase de reconhecimento pré-ataque e gera sinais de alerta precoce para os defensores.

Embora variem em escala e sofisticação, a maioria dos honeypots tradicionais foca em redes. Esses honeypots revelam atacantes do Estágio 2 (Weaponization) ao 7 (Actions on Objectives) da cyber kill chain, assumindo que os atacantes já estão sondando a rede.

Manuka realiza detecção de ameaças OSINT no Estágio 1 (Reconnaissance) da cyber kill chain. Apesar de investirem milhões de dólares em defesas de rede, as organizações podem ser facilmente comprometidas por meio de uma única pesquisa no Google. Um exemplo recente é hackers expondo reuniões corporativas, sessões de terapia e aulas universitárias através de chamadas do Zoom deixadas na Web aberta. As empresas precisam detectar essas ameaças OSINT em seu perímetro, mas carecem das ferramentas para fazê-lo.

Manuka é construído para escalar. Os usuários podem facilmente adicionar novos módulos de listener e conectá-los ao ambiente Dockerizado. Eles podem coordenar várias campanhas e honeypots simultaneamente para ampliar a superfície de honeypot. Além disso, os usuários podem personalizar e implantar rapidamente o Manuka para atender a diferentes casos de uso. Os dados do Manuka são projetados para serem facilmente transportados para outras ferramentas de análise e visualização de terceiros no fluxo de trabalho de uma organização.

Projetar um honeypot OSINT apresenta um desafio inovador devido à complexidade e à ampla gama de técnicas OSINT. No entanto, tal ferramenta permitiria que os Blue Teamers 'movessem para a esquerda' em sua estratégia de inteligência de ameaças cibernéticas.

Painel

Design da Ferramenta

Arquitetura

• Fontes: Possíveis vetores OSINT, como perfis de redes sociais, credenciais expostas e código-fonte vazado.
• Listeners: Servidores que monitoram as fontes em busca de interações com atacantes.
• Hits: Indicadores de interesse, como tentativas de login com credenciais vazadas e conexões em redes sociais.
• Honeypots: Grupos de fontes e listeners organizados em uma única Campanha que analisa e rastreia hits ao longo do tempo.

Design do Sistema

O próprio framework consiste em vários contêineres Docker que podem ser implantados em um único host.

• manuka-server: Servidor central em Golang que realiza operações CRUD e ingere hits dos listeners.
• manuka-listener: Servidor modular em Golang que pode desempenhar diferentes funções de listener.
• manuka-client: Painel React para o Blue Team gerenciar os recursos do Manuka.

Esses contêineres são orquestrados por meio de um único comando docker-compose.

Desenvolvimento

Em desenvolvimento, os componentes rodam nas seguintes portas em seus respectivos contêineres:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Para permitir que o cliente e o servidor se comuniquem sem problemas de CORS, uma camada adicional de nginx em localhost:8080 faz proxy-pass de /api/ para manuka-server e / para manuka-listener.

Além disso, manuka-listener opera nas seguintes portas:

1. 8081 para a página de login encenada
2. 8082 para interagir com o e-mail encenado

Requisitos

Consulte os repositórios de componentes individuais para seus requisitos.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configurar

1. Crie um arquivo em docker/secrets/postgres_password com a senha do Postgres.
2. Configure uma conta do Google para o Gmail receber e-mails de perfis de redes sociais.
3. Configure o Google Cloud Pub/Sub em https://console.cloud.google.com/cloudpubsub para a funcionalidade de push de e-mail (guia: https://developers.google.com/gmail/api/guides/push). O guia também terá instruções para criar um projeto Cloud.
4. Crie o arquivo docker/secrets/google_credentials.json com as credenciais do seu projeto.
5. Adicione o tópico criado no Cloud Pub/Sub a docker/secrets/google_topic.
6. Obtenha um token oauth2 para sua conta do Google. O Manuka requer um token oauth2 na primeira vez que é executado. Posteriormente, ele atualizará automaticamente o token. Salve o token em docker/secrets/google_oauth2_token.json.

Executar

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Inicialize o serviço de push de e-mail do manuka-listener:
   1. Inicialize o ngok ./ngok http <porta do manuka-listener> e anote a URL https.
   2. No menu esquerdo do painel do Google PubSub, vá em Subscriptions -> <nome da assinatura> -> Edit Subscription e altere a URL do Endpoint para <URL https do ngok>/notifications.
   3. Tente enviar um e-mail de outra conta para a conta do Gmail alvo. Você deve ver POST /notifications 200 OK no console do ngrok, e Received push notification no console do Docker.

Produção

Em produção, as seguintes portas mapeiam para estes servidores:

1. 8080: manuka-client em / e manuka-server em /api
2. 80: manuka-listener-login em / e manuka-listener-social em /notifications

Isso permite que qualquer domínio que aponte para o seu servidor apareça como a página de login falsa, enquanto o painel de administração está disponível na porta 8080. Além disso, o painel de administração é protegido por autenticação básica HTTP na camada nginx.

Requisitos

Consulte os repositórios de componentes individuais para seus requisitos.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Configurar

1. Semelhante à configuração para desenvolvimento, certifique-se de que todos os segredos e configurações do Google Cloud estejam em vigor. Observe que a URL da assinatura agora deve estar em http://DOMINIO/notifications.
2. Aponte seu nome de domínio para o IP do servidor.
3. Copie docker/nginx/nginx.prod.conf.example para docker/nginx/nginx.prod.conf e substitua examplecompany.com pelo seu domínio de produção.
4. Execute init-letsencrypt.sh para gerar seus certificados SSL.

Executar

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME e NGINX_PASSWORD serão sua autenticação básica do painel.
   2. COMPANY_NAME será o nome da empresa na página de login falsa.

Listeners Atualmente Suportados

1. Social Listener

   Monitora atividades sociais no Facebook e LinkedIn. Atualmente suporta notificação de tentativas de conexão de rede. Observe que a(s) conta(s) de mídia social monitorada(s) deve(m) ter notificação por e-mail habilitada. A(s) conta(s) de e-mail correspondente(s) que recebem as notificações por e-mail das plataformas de mídia social deve(m) ser configurada(s) para encaminhar esses e-mails para a conta do Gmail centralizada.

2. Login Listener

   Monitora tentativas de login usando credenciais vazadas no site honeypot.

Outros

Categoria

OSINT - Inteligência de Fontes Abertas

Agradecimentos

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock