AutoResponder

Carbon Black Response — инструмент для реагирования на инциденты и поиска угроз в среде

Что это такое?

AutoResponder — это инструмент, предназначенный для помощи в выполнении задач по реагированию на инциденты С ПОМОЩЬЮ потрясающих возможностей Carbon Black Response и БЕЗ особого беспокойства ИТ/системных/сетевых команд.

Что он умеет?

Для кого это?

Как?

Для тех, кто не знаком с Carbon Black Response, это довольно удивительный продукт, который предоставляет решение для случаев реагирования на инциденты своим уникальным и потрясающим способом. Carbon Black Response имеет интеграцию с Python API, которая помогает людям автоматизировать свои задачи — экономя много времени. Так что всё, что вы видите в этом проекте, — это просто магия Python API — не больше и не меньше.

Но зачем..?

За последние месяцы нашей команде пришлось столкнуться со множеством случаев реагирования на инциденты. Хотя мы справились с ними как чемпионы, я заметил, что наша команда испытывала трудности в общении с ИТ/системными/сетевыми командами клиента, и когда они выполняли поиск одного файла, это могло занять недели. Поскольку мы являемся партнёром Carbon Black по реагированию на инциденты и активно используем Carbon Black Response в большинстве дел, в которых участвуем, я решил написать инструмент, который поможет нашей команде выполнять ОЧЕНЬ БОЛЬШИЕ задачи за очень короткое время с минимальной помощью со стороны.

В чём проблема? Есть другие инструменты и люди для этого

Справедливо. Теперь представьте сценарий, где сотни конечных точек скомпрометированы, злоумышленник установил постоянство на всех них и сбросил кучу файлов. И какое совпадение — вся ИТ-команда решила уйти в отпуск, не оставив никого в офисе для работы с инцидентом, а доменный администратор хочет подавать бумагу на каждое нажатие клавиши на своей клавиатуре — лишая вас возможности выявлять и устранять угрозы на скомпрометированных системах. Удачи! (Кстати, реальная история)

Как я могу его использовать?

Код написан на Python3, поэтому подойдёт любая версия выше 3.4.

1. Скачайте zip-архив или выполните git clone
2. Установите необходимые модули с помощью pip3 install -r requirements.txt
3. Настройте Carbon Black API => https://cbapi.readthedocs.io/en/latest/
4. Наведите шороху

Сканирование THOR

Чтобы сканировать репозиторий бинарных файлов с помощью THOR, вам нужно:

1. Получить пакет thor для Linux
2. Добавить действующую лицензию (пробная лицензия не поддерживается)
3. Загрузить каталог THOR на сервер CBR, который вы хотите сканировать (Master на одиночном и Minion на кластерном окружении)
4. Запустить модуль run-thor

Особая благодарность

Большое спасибо https://twitter.com/harunglec за помощь с модулем многопоточности.

Вы можете сканировать весь репозиторий бинарных файлов, содержащий исполняемые файлы, собранные CBR, с помощью THOR APT Scanner. https://twitter.com/thor_scanner

P.S.

Это просто код на Python — значит, не стесняйтесь изменять его под свои нужды. Пожалуйста, сообщайте о любых проблемах по адресу => https://github.com/lawiet47/autoresponder/issues

Все текущие модули были протестированы на сенсорах с ОС Windows. Но вы можете попробовать и на Linux.