RE:TERNAL

---

---

Примечание: все еще в разработке, используйте только для тестирования и не открывайте интерфейсы! Текущий compose пока не работает, пробуйте, только если знаете, что делаете

RE:TERNAL — это централизованный сервис оркестрации purple team для управления сторонними C2-фреймворками. Агенты устанавливаются на конечные точки для выполнения различных известных техник red-teaming с целью проверки возможностей blue-teaming. Симуляции сопоставляются с фреймворком MITRE ATT&CK. Этот репозиторий содержит compose-файл для настройки платформы reternal через docker.

Доступна публичная предварительная версия, работающая с последней версией по адресу @ https://reternal.d3vzer0.com (требуется вход через GitHub). Выполнение/сохранение кампаний и взаимодействие с модулями C2 отключены (по понятным причинам ;)).

Компоненты Reternal

Установка и настройка

Этот репозиторий содержит плейбуки Ansible для автоматизации локальной или удаленной установки и настройки Reternal. Руководство можно найти в Wiki репозитория @ https://github.com/d3vzer0/reternal-quickstart/wiki.

Разработчики и контакты

Joey Dreijer < [email protected] >
Yaleesa Borgman < [email protected] >

Что с названием?

Этот проект перерабатывался так много раз, что, вероятно, никогда не завершится. Отсюда RE (Redo) и Ternal (Eternal).

Особая благодарность

• Rabobank DeTTECT - Фреймворк для сопоставления покрытия логов с MITRE ATT&CK. Использованы основы для внутренней оценки покрытия и предложений сценариев: https://github.com/rabobank-cdc/DeTTECT
• MITRE ATT&CK - Фреймворк, используемый для сопоставления симуляций: https://attack.mitre.org/wiki/Main_Page
• Uber Metta - Использование шаблонов Metta для техник MITRE с небольшими (необязательными) доработками в формат purple_action: https://github.com/uber-common/metta
• https://github.com/olafhartong/sysmon-modular - Приложение Splunk с готовыми запросами для поиска вредоносных событий на основе Sysmon
• https://www.splunksecurityessentials.com/ - Обязательное приложение Splunk для расширения текущих возможностей обнаружения. Приложение анализирует доступные типы источников и предлагает подходящие советы/рекомендации для улучшения общего использования Splunk для охоты и обнаружения.

Примеры и скриншоты

Все функции будут документированы на странице Welcome в Wiki @ https://github.com/d3vzer0/reternal-quickstart/wiki. Ниже приведены несколько примеров основных компонентов.

Сопоставление акторов и техник

Reternal автоматически сопоставляет доступные команды и техники с акторами. Вы можете напрямую добавить все техники, обычно используемые акторами, в свой набор задач.

Построитель рецептов/графов

Планирование задач для выполнения на агенте называется графом. Вы можете добавлять ручные команды в граф или выбрать одну из существующих сопоставленных техник или TTP акторов. Вы можете перетаскивать элементы, чтобы изменить порядок задач в графе.

Взаимодействие с C2

Reternal выступает в роли промежуточного программного обеспечения и взаимодействует с внешними C2-фреймворками. Ниже показан пример того, как Reternal управляет внешними слушателями и генерирует stager'ы.

Оценка покрытия (на основе Rabo DeTTECT)

Автоматически синхронизирует доступные источники данных с вашей средой Splunk или позволяет добавлять источники журналов вручную. Reternal предложит конкретные кампании для выполнения на основе вашей оценки покрытия.

С обзором вашего покрытия в сравнении со всеми техниками ATT&CK:

Интегрированные поиски

Дополнительно включен список запросов Splunk для автоматической проверки симуляций. Скоро (tm) запланированная кампания будет автоматически выполнять соответствующие запросы и представлять подробный отчет с результатами (например, время выполнения атаки по сравнению с временем обнаружения и т.д.)

Состояние кампании и панель управления

Главная панель отображает состояние ваших запущенных кампаний и показывает ожидаемое покрытие ваших источников данных по сравнению с техниками.