Stratus Red Team

Stratus Red Team — это «Atomic Red Team™» для облака, обеспечивающий детальную и автономную эмуляцию наступательных техник атак.

Анонсирующие записи в блогах:

• https://www.datadoghq.com/blog/cyber-attack-simulation-with-stratus-red-team/
• https://blog.christophetd.fr/introducing-stratus-red-team-an-adversary-emulation-tool-for-the-cloud/

Начало работы

Stratus Red Team — это автономный бинарный файл Go.

Смотрите документацию на stratus-red-team.cloud:

• Концепции Stratus Red Team
• Установка Stratus Red Team - доступны формула Homebrew, Docker-образ и готовые бинарные файлы
• Доступные техники атак, сопоставленные с MITRE ATT&CK

Установка

Прямая установка

Требуется Go 1.23+

go install -v github.com/datadog/stratus-red-team/v2/cmd/stratus@latest

Homebrew

brew tap datadog/stratus-red-team https://github.com/DataDog/stratus-red-team
brew install datadog/stratus-red-team/stratus-red-team

Готовые бинарные файлы

Для Linux, Windows и macOS: загрузите один из готовых бинарных файлов.

Docker

IMAGE="ghcr.io/datadog/stratus-red-team"
alias stratus="docker run --rm -v $HOME/.stratus-red-team/:/root/.stratus-red-team/ -e AWS_ACCESS_KEY_ID -e AWS_SECRET_ACCESS_KEY -e AWS_SESSION_TOKEN -e AWS_DEFAULT_REGION $IMAGE"

asdf

Устанавливайте конкретные версии stratus-red-team с помощью asdf и плагина stratus-red-team:

asdf plugin add stratus-red-team https://github.com/asdf-community/asdf-stratus-red-team.git
asdf install stratus-red-team latest

Сообщество

Публикации и проекты сообщества:

Проекты с открытым исходным кодом:

• Threatest
• Обнаружение угроз AWS с помощью Stratus Red Team

Видео:

• Воспроизведение распространённых атак в облаке с помощью Stratus Red Team
• Stratus Red Team: кража учётных данных инстанса AWS EC2 | Threat SnapShot
• Автоматизированная симуляция атак в AWS для Red Teaming

Публикации в блогах:

• Эмуляция угроз AWS и проверка обнаружения с помощью Stratus Red Team и Datadog Cloud SIEM
• Эмуляция действий противника в AWS с помощью Stratus Red Team и Wazuh
• Небо не предел: Stratus Red Team для Azure
• Обнаружение реалистичных облачных атак AWS с помощью Azure Sentinel
• Сравнение open-source инструментов эмуляции действий противника на основе данных
• Как сделать безопасность актуальной в облаке
• Детонация атак с помощью Datadog Stratus Red Team
• Шпаргалка по AWS CloudTrail
• Эмуляция действий противника в GCP с помощью Stratus Red Team и Wazuh
• Автоматизированное первичное реагирование в AWS с помощью Sigma и Athena
• AWS Cloud Detection Lab: облачное пен-тестирование с помощью Stratus Red Team

Выступления:

• Purple Teaming и эмуляция действий противника в облаке с помощью Stratus Red Team, DEF CON Cloud Village 2022
• Разработка, управляемая угрозами, с помощью Stratus Red Team от Ryan Marcotte Cobb
• Облачно с вероятностью фиолетового дождя: использование Stratus Red Team - BSides Portland 2022

Статьи:

• Подход Purple Team к автоматизации атак в Cloud Native-среде

Использование Stratus Red Team в качестве Go-библиотеки

Смотрите Примеры и Программное использование.

Разработка

Сборка локально

make
./bin/stratus --help

Локальный запуск

go run cmd/stratus/*.go list

Запуск тестов

make test

Сборка документации

Для локального использования:

pip install mkdocs-material mkdocs-awesome-pages-plugin

make docs
mkdocs serve

Благодарности

Основные сопровождающие: Christophe Tafani-Dereeper (@christophetd), Simon Maréchal (@Minosity-VR).

Похожие проекты (см. как Stratus Red Team сравнивается с другими):

• Atomic Red Team от Red Canary
• Leonidas от F-Secure
• pacu от Rhino Security Labs
• Amazon GuardDuty Tester
• CloudGoat от Rhino Security Labs

Вдохновение и полезные ресурсы:

• https://expel.io/blog/mind-map-for-aws-investigations/
• https://rhinosecuritylabs.com/aws/aws-privilege-escalation-methods-mitigation/
• https://github.com/elastic/detection-rules/tree/main/rules/integrations/aws

Навыки

В этом репозитории доступны следующие навыки агента:

• create-attack-technique - создаёт и проверяет новые техники атак для AWS, Azure, GCP, Entra ID и Kubernetes, следуя соглашениям по стилю и структуре проекта.
• test-attack-technique - выполняет фазы прогрева, детонации и очистки для указанного идентификатора техники, проверяет облачные учётные данные и формирует HTML-отчёт с результатами.
• map-threat-intel-coverage - загружает отчёт по threat intelligence, извлекает облачные TTP, классифицирует каждую из них относительно существующего покрытия Stratus Red Team и создаёт черновики GitHub issues для пробелов.