ВАЖНО: этот README и другая документация не обновлены, чтобы отражать изменения, внесенные в последние бета-версии (так как произошло много изменений). Всё это будет обновлено со временем, когда выйдет стабильная версия (см. Дорожная карта до следующего релиза). Не стесняйтесь запускать бета-версии самостоятельно и задавать вопросы, если вам нужна помощь.

logo

Что

EDR со сбором артефактов, управляемым обнаружением. Движок обнаружения построен на основе предыдущего проекта Gene, специально разработанного для сопоставления событий Windows с заданными пользователем правилами.

Что вы имеете в виду под "сбором артефактов, управляемым обнаружением"?

Это означает, что предупреждение может напрямую запустить сбор некоторых артефактов (файл, реестр, память процесса). Таким образом вы точно собираете артефакты как можно быстрее (почти в реальном времени).

Вся эта работа была выполнена в мое свободное время в надежде, что она поможет другим людям. Надеюсь, она вам понравится. Если я не получу финансирование для дальнейшего развития этого проекта, я продолжу его развивать на основе наилучших усилий. Я сделаю все возможное, чтобы вовремя исправлять проблемы и предоставлять обновления. Не стесняйтесь открывать вопросы, чтобы улучшить этот проект и поддерживать его жизнь.

Зачем

Предоставить сообществу Open Source EDR
Обеспечить прозрачность правил обнаружения, чтобы аналитики понимали, почему сработало правило
Предоставить мощные примитивы обнаружения через гибкий движок правил
Оптимизировать процессы реагирования на инциденты, значительно сокращая время между обнаружением и сбором артефактов

Как

big-picture

Примечание: EDR-агент может запускаться автономно (без подключения к EDR-менеджеру)

Что нужно знать

Работает только в Windows с использованием журналов ETW
Опирается на Sysmon для всей тяжелой работы (компонент ядра)
Очень мощный и настраиваемый движок обнаружения (на базе gene)
Создан специалистом по реагированию на инциденты для всех специалистов по реагированию с целью облегчить их работу
Низкое потребление ресурсов -> отсутствие внедрения в процессы
Может сосуществовать с любым антивирусным продуктом (рекомендуется запускать вместе с MS Defender)
Предназначен для высокой пропускной способности. Легко обогащает и анализирует до 15 миллионов событий в день на конечной точке без влияния на производительность. Удачи в достижении этого с SIEM.
Легко интегрируется с другими инструментами (Splunk, ELK, MISP ...)
Интегрирован с фреймворком ATT&CK
Имеется мощный административный API для упрощения управления крупными развертываниями (пока без графического интерфейса)

Установка

Требования

Установите Sysmon
Настройте Sysmon
- Оптимизированные конфигурации Sysmon можно найти здесь
- Обязательна регистрация любых событий ProcessCreate и ProcessTerminate
Запомните путь к вашему бинарному файлу Sysmon, так как он понадобится позже

Примечание: фильтрация событий может быть выполнена на 100% с помощью правил Gene, поэтому не утруждайте себя созданием сложной конфигурации Sysmon.

Агент EDR на конечной точке (Whids.exe)

В этом разделе рассматривается установка агента на конечной точке.

Загрузите и распакуйте последний релиз WHIDS https://github.com/0xrawsec/whids/releases
Запустите manage.bat от имени администратора
Запустите установку, выбрав соответствующий пункт
Проверьте, что файлы были созданы в каталоге установки
Отредактируйте файл конфигурации, выбрав соответствующий пункт в manage.bat или используя ваш любимый текстовый редактор
Пропустите этот шаг, если работаете с подключением к менеджеру, так как правила будут обновляться автоматически. Если в каталоге правил ничего нет, инструмент будет бесполезен, поэтому убедитесь, что там есть несколько правил gene. Некоторые правила поставляются с WHIDS, и вам будет предложено выбрать, хотите ли вы их установить. Если вы хотите получить самые актуальные правила, вы можете взять их здесь (берите скомпилированные)
Запустите службы из соответствующего пункта в manage.bat или просто перезагрузите компьютер (предпочтительный вариант, иначе некоторые поля обогащения будут неполными, что приведет к ложным срабатываниям)
Если вы настроили менеджер, не забудьте запустить его, чтобы получать предупреждения и дампы

Примечание: Во время установки служба Sysmon будет сделана зависимой от службы WHIDS, чтобы мы были уверены, что EDR запускается до того, как Sysmon начнет генерировать события.

Менеджер EDR

Менеджер EDR может быть установлен на нескольких платформах, предварительно собранные бинарные файлы предоставляются для Windows, Linux и Darwin.

Создайте TLS-сертификат, если необходимо для HTTPS-соединений
Создайте файл конфигурации (есть аргумент командной строки для генерации базовой конфигурации)
Запустите бинарный файл

Примеры конфигурации

Пожалуйста, посетите doc/configuration.md

Дополнительная документация

Известные проблемы

Не работает должным образом при запуске с сетевой папки, смонтированной как сетевой диск (в этом случае whids не может идентифицировать себя и, таким образом, создает лишний шум). Пример: если \\vbox\test смонтирован как диск Z:, запуск Z:\whids.exe не сработает, в то время как запуск \\vbox\test\whids.exe сработает.

Дорожная карта до следующего релиза

Журнал изменений

v1.7

Новый административный HTTP API со следующими функциями:
- Управление конечными точками (список, создание, удаление)
- Получение базовой статистики о менеджере
- Выполнение команд на конечных точках и получение результатов
  - Можно помещать файлы перед выполнением, чтобы выполнять бинарники/скрипты, отсутствующие на конечной точке. Сброшенные файлы удаляются после выполнения команды.
  - Можно извлекать файлы (после выполнения команды) для получения результатов команды
- Сбор файлов с конечных точек для криминалистических целей
- Изоляция / снятие изоляции конечных точек путем ограничения любого сетевого трафика, кроме связи с менеджером.
- Запрос журналов конечных точек
- Запрос предупреждений конечных точек
- Опорная точка по временной метке и получение журналов/предупреждений вокруг этой временной опоры
- Доступ к отчету о конечной точке
  - Оценка (относительно каждой среды), позволяющая сортировать конечные точки и выявлять те, которые ведут себя иначе, чем другие.
  - Предупреждения / TTPs, наблюдаемые за заданный промежуток времени
- Управление правилами (список, создание, обновление, сохранение, удаление)
Интеграция с Sysmon v12 и v13
- Интеграция событий ClipboardData
  - Помещение содержимого данных буфера обмена внутрь события, чтобы разрешить создание правил на основе содержимого буфера обмена
- Интеграция событий ProcessTampering
  - Обогащение события оценкой различий между секцией .text на диске и в памяти
Реализована привязка сертификата на клиенте для повышения безопасности канала связи между конечными точками и сервером управления
Возможности фильтрации журналов, позволяющие собирать контекстные события. Фильтрация журналов достигается созданием правил фильтрации Gene (см. Документацию Gene).
Файлы конфигурации в формате TOML для лучшей читаемости
Лучшая защита каталога установки

Связанные работы

EDR на основе Sysmon, написанный на PowerShell: https://github.com/ion-storm/sysmon-edr
Comodo Open Source EDR с компонентами пользователя и ядра: https://github.com/ComodoSecurity/openedr
Sysmon X: https://github.com/marcosd4h/sysmonx

Спонсоры

GitHub: https://github.com/tines Веб-сайт: https://www.tines.com/ Twitter: @tines_io

whids

Популярное

Что