DARKSURGEON — это проект упаковщика Windows, предназначенный для усиления возможностей реагирования на инциденты, цифровой криминалистики, анализа вредоносных программ и защиты сети.
Статус CircleCI: 
DARKSURGEON — это проект Windows packer, предназначенный для усиления возможностей реагирования на инциденты, цифровой криминалистики, анализа вредоносных программ и защиты сети.
DARKSURGEON заявляет о трех целях:
Если вы раньше не работали с packer, этот проект имеет простую предпосылку:
Предоставить все необходимые инструменты для создания продуктивной, безопасной и конфиденциальной виртуальной машины Windows, чтобы вы тратили меньше времени на настройку среды и больше — на борьбу с плохими парнями.
Обратите внимание: это альфа-проект и он будет подвержен постоянной разработке, обновлениям и поломке пакетов.
DARKSURGEON основан на нескольких ключевых принципах разработки:
DARKSURGEON усилен «из коробки» и включает скрипты для включения режимов высокой (High) или низкой (Low) безопасности.
Во всех установках DARKSURGEON по умолчанию включены следующие функции безопасности:
Кроме того, пользователь может указать режим безопасности Low или High с помощью соответствующих скриптов. По умолчанию образ создается в режиме Low Security.
Режим Low Security в первую очередь используется для виртуальных машин, предназначенных для реверс-инжиниринга, анализа вредоносных программ или систем, не поддерживающих средства безопасности VBS.
В режиме Low Security настроены следующие функции усиления защиты:
Примечание: режим High Security еще разрабатывается.
Режим High Security в первую очередь используется для производственного развертывания чувствительных систем (например, рабочих станций привилегированного доступа) и может потребовать дополнительной настройки.
В режиме High Security настроены следующие функции усиления защиты:
Будь то анализ неизвестных бинарных файлов или работа над чувствительными проектами, телеметрия конечных точек обеспечивает работу обнаружения и реагирования. DARKSURGEON поставляется с предварительно настроенными источниками телеметрии, доступными для анализа:
Ваша операционная среда содержит одни из самых конфиденциальных данных вашей сети, и важно защитить их от посторонних глаз. DARKSURGEON реализует следующие стратегии для максимальной конфиденциальности без ущерба для рабочих процессов:
Из коробки DARKSURGEON оснащен инструментами, скриптами и бинарными файлами, которые облегчат жизнь защитника.
Анализ Android:
Tools, scripts, and binaries focused on android analysis and reverse engineering.
Blue Team:
Tools, scripts, and binaries focused on blue team, network defense, and alerting/detection development.
Отладчики:
Tools, scripts, and binaries for debugging binary artifacts.
Дисассемблеры:
Tools, scripts, and binaries for disassembling binary artifacts.
Анализ документов:
Tools, scripts, and binaries for performing analysis of documents.
Анализ .NET:
Tools, scripts, and binaries for performing analysis of DotNet artifacts.
Анализ Flash:
Tools, scripts, and binaries for performing analysis of flash artifacts.
Криминалистический анализ:
Tools, scripts, and binaries for performing forensic analysis on application and operating system artifacts.
Hex-редакторы:
Анализ Java:
Сетевой анализ:
Анализ PE:
Модули PowerShell:
Библиотеки Python:
Red Team:
Удаленное управление:
Утилиты:
Анализ Visual Basic:
DARKSURGEON собирается с помощью приложения Packer от HashiCorp. Общее время сборки нового экземпляра DARKSURGEON составляет около 2–3 часов.
Примечание: в этом альфа-релизе поддерживается только Hyper-V. Поддержка VirtualBox и VMWare появится в ближайшее время.
powershell.exe New-DARKSURGEONISO.ps1packer build -only=[hyperv-iso|vmware|virtualbox] .\DARKSURGEON.jsonDARKSURGEON спроектирован модульным и простым в настройке. Пример конфигурации приведен в файле DARKSURGEON.json, но вы можете добавлять, удалять или изменять любые базовые скрипты.
Нужно добавить собственный ЦС? Нужен файл лицензии для IDA? Без проблем. Вы можете поместить любые необходимые файлы в каталог configuration-files, и они будут скопированы на хост.
Хотите установить собственный пакет или выполнить определенные настройки ОС? Не проблема. Просто создайте новый скрипт PowerShell (или измените существующий) в каталоге configuration-scripts и добавьте его как шаг сборки в JSON-файл packer.
Примечание: в этом альфа-релизе поддерживается только Hyper-V. Поддержка VirtualBox и VMWare появится в ближайшее время.
После успешной сборки DARKSURGEON вы получите выходной файл vagrant box. Файл box содержит образ виртуальной машины и метаданные vagrant, что позволяет быстро запустить виртуальную машину по мере необходимости.
vagrant upVagrant извлечет образ виртуальной машины из файла box, прочитает метаданные и создаст для вас новую ВМ. Хотите уничтожить эту ВМ и получить новую?
Просто выполните следующее:
vagrant destroy && vagrant up
После запуска виртуальной машины DARKSURGEON вы можете войти, используя одну из двух локальных учетных записей:
Примечание: Это учетные записи по умолчанию с учетными данными по умолчанию. Возможно, вам стоит изменить учетные данные в вашей сборке packer.
Учетная запись администратора:
Имя пользователя: Darksurgeon
Пароль: darksurgeon
Учетная запись локального пользователя:
Имя пользователя: Unprivileged
Пароль: unprivileged
Если вы предпочитаете не использовать vagrant, вы можете импортировать образ ВМ вручную или воспользоваться одним из многих других вариантов постобработки, предоставляемых packer.
Если вы хотите пропустить процесс сборки DARKSURGEON и довериться файлу box, который я собрал, вы можете просто скачать его здесь.
Вклад, исправления и улучшения могут быть представлены непосредственно в этом проекте в виде issue или pull request на GitHub. Инструменты будут рассмотрены и добавлены в индивидуальном порядке.
Я твердо верю в ценность Windows Defender Device Guard и Virtualization Based Security, которые для оптимальной эффективности требуют использования Hyper-V. В результате другие гипервизоры не рекомендуются на хост-машине. Я сделаю все возможное, чтобы обеспечить поддержку других основных гипервизоров, но я призываю всех пользователей попробовать Hyper-V.
Это было проектное решение, принятое для гарантии того, что все ожидаемые пакеты попадут в финальную сборку packer. Плюс этого решения в том, что оно гарантирует наличие всех ожидаемых инструментов в готовом продукте. Минус — в конвейер сборки вносится дополнительная сложность и хрупкость, поскольку временные ошибки или ошибки chocolatey могут привести к сбою сборки. Если вы хотите игнорировать эту функциональность, вы можете изменить базовый скрипт, чтобы игнорировать ошибки при установке пакетов.
Да. Если вы добавите файл лицензии (с именем chocolatey.license.xml) в каталог configuration-files при выполнении сборки packer, он будет автоматически импортирован скриптом Set-ChocolateySettings.ps1. Пожалуйста, убедитесь, что использование лицензии chocolatey соответствует их лицензионному соглашению с конечным пользователем.
Гибкость — ключевой фактор. Вы можете использовать — или не использовать — любой из этих скриптов, причем в любом порядке. Наличие отдельных файлов, хотя и увеличивает сложность проекта, гарантирует, что проект можно полностью настроить без проблем.
Добавьте скрипт Set-Breakpoint.ps1 в процесс provisioner в нужной точке. Это приведет к остановке сборки packer на 4 часа в ожидании завершения скрипта.
Скорее всего, это проблема синхронизации, вызванная тем, что эмулируемые нажатия клавиш не заставляют образ загружаться с подключенного ISO-образа Windows. Перезапустите ВМ и несколько раз нажмите любую кнопку, пока не начнется процесс сборки.
Из-за размера загружаемых и устанавливаемых пакетов вы могли превысить стандартный лимит времени сборки packer.
Подключитесь к гостевой системе и проверьте следующее:
Test-NetConnection -ComputerName <Packer IP Address> -Port 5985)К сожалению, эти пакеты могут быть подвижной целью. Новые обновления могут сделать статическую контрольную сумму в пакете chocolatey неверной, антивирус может ошибочно пометить бинарные файлы и т.д. Можно указать глобальные параметры chocolatey для предотвращения таких ошибок, но я сделаю все возможное, чтобы реагировать на сообщения об ошибках, поданные как issues на соответствующие пакеты chocolatey.
Вы как пользователь этого проекта должны ознакомиться, принять и соблюдать условия лицензии каждого загруженного/установленного пакета. Если вы не желаете соблюдать условия лицензии какого-либо конкретного компонента, удалите этот пакет из вашей сборки packer или не используйте этот проект.
Лицензия MIT
Copyright (c) 2018
Настоящим безвозмездно предоставляется разрешение любому лицу, получающему копию данного программного обеспечения и связанной с ним документации («Программное обеспечение»), на использование Программного обеспечения без ограничений, включая, без ограничения, права на использование, копирование, изменение, слияние, публикацию, распространение, сублицензирование и/или продажу копий Программного обеспечения, а также на предоставление лицам, которым Программное обеспечение предоставляется, прав на это при соблюдении следующих условий:
Указанное выше уведомление об авторских правах и данное уведомление о разрешении должны быть включены во все копии или существенные части Программного обеспечения.
ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПРЕДОСТАВЛЯЕТСЯ «КАК ЕСТЬ», БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ, ЯВНЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ, ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИВАЯСЬ, ГАРАНТИЯМИ ТОВАРНОЙ ПРИГОДНОСТИ, ПРИГОДНОСТИ ДЛЯ КОНКРЕТНОЙ ЦЕЛИ И НЕНАРУШЕНИЯ ПРАВ. НИ В КОЕМ СЛУЧАЕ АВТОРЫ ИЛИ ПРАВООБЛАДАТЕЛИ НЕ НЕСУТ ОТВЕТСТВЕННОСТИ ПО КАКИМ-ЛИБО ИСКАМ, УБЫТКАМ ИЛИ ИНЫМ ТРЕБОВАНИЯМ, ВОЗНИКАЮЩИМ ИЗ ИЛИ В СВЯЗИ С ПРОГРАММНЫМ ОБЕСПЕЧЕНИЕМ, ЕГО ИСПОЛЬЗОВАНИЕМ ИЛИ ИНЫМИ ДЕЙСТВИЯМИ С ПРОГРАММНЫМ ОБЕСПЕЧЕНИЕМ.
Этот проект стоит на плечах гигантов, и я не могу должным образом поблагодарить всех авторов за их работу, вклад и вдохновение.