Slack Watchman

Мониторинг Slack и поиск раскрытых секретов

О Slack Watchman

Slack Watchman — это приложение, которое использует Slack API для поиска потенциально чувствительных данных, раскрытых в рабочем пространстве Slack, а также для сбора другой полезной информации для red, blue и purple команд.

Подробнее о Slack Watchman можно узнать в моём блоге.

Возможности

Обнаружение секретов

Slack Watchman ищет:

• API-ключи, токены и сервисные учётные записи
  • AWS, Azure, GCP, Google API, Slack (ключи и вебхуки), Twitter, Facebook, GitHub и другие
  • Приватные ключи общего назначения
  • Токены доступа, Bearer-токены, клиентские секреты, приватные токены
• Файлы
  • Сертификаты
  • Потенциально интересные/вредоносные/чувствительные файлы (.docm, .xlsm, .zip и т.д.)
  • Исполняемые файлы
  • Файлы связки ключей (Keychain)
  • Конфигурационные файлы популярных сервисов (Terraform, Jenkins, OpenVPN и другие)
• Персональные данные
  • Утёкшие пароли
  • Номера паспортов, даты рождения, номера социального страхования (SSN), национальные страховые номера и другие
• Финансовые данные
  • Токены PayPal Braintree, данные банковских карт, номера IBAN, номера CUSIP и другие

Поиск по временному диапазону

Вы можете запустить Slack Watchman для поиска результатов за следующий период:

• 24 часа
• 7 дней
• 30 дней
• Всё время

Энумерация

Он также собирает следующие данные:

• Данные пользователей
  • Все пользователи и все администраторы
• Данные бесед
  • Все беседы, включая беседы, доступные внешним пользователям
  • Все беседы, содержащие Slack Canvas (в которых часто содержится чувствительная или важная информация)
• Параметры аутентификации рабочего пространства

Это означает, что после одного глубокого сканирования вы можете настроить регулярный запуск Slack Watchman и получать только результаты за выбранный период времени.

Неаутентифицированный зонд

Вы можете запустить Slack Watchman в режиме неаутентифицированного зондирования, чтобы получить параметры аутентификации и другую информацию о рабочем пространстве. Для этого не нужен токен. Режим возвращает:

• Название рабочего пространства
• ID рабочего пространства
• Одобренные домены (могут создавать учётные записи)
• OAuth-провайдеры
• Статус SSO-аутентификации
• Требования двухфакторной аутентификации

Чтобы запустить этот режим, используйте Slack Watchman с флагом --probe и доменом рабочего пространства для зондирования:

slack-watchman --probe https://domain.slack.com

Сигнатуры

Slack Watchman использует пользовательские YAML-сигнатуры для поиска совпадений в Slack. Эти сигнатуры загружаются из центрального репозитория Watchman Signatures. Slack Watchman автоматически обновляет свою базу сигнатур во время выполнения, чтобы использовать самые свежие сигнатуры для обнаружения секретов.

Отключение сигнатур

Вы можете указать сигнатуры, которые нужно отключить при запуске Slack Watchman, добавив их ID в раздел disabled_signatures файла watchman.conf. Например:

slack_watchman:
  token: ...
  cookie: ...
  url: ...
  disabled_signatures:
    - tokens_generic_bearer_tokens
    - tokens_generic_access_tokens

ID сигнатуры можно найти в отдельных YAML-файлах в репозитории Watchman Signatures.

Логирование

Slack Watchman предоставляет следующие варианты логирования:

• Удобный для терминала вывод в Stdout
• JSON в Stdout

Если параметр не указан, Slack Watchman по умолчанию использует удобный для терминала вывод в stdout. Он рассчитан на чтение человеком.

Также доступно JSON-логирование, которое идеально подходит для загрузки в SIEM или другие платформы анализа журналов.

Логирование в формате JSON можно легко перенаправить в файл, как показано ниже:

slack-watchman --timeframe a --all --output json >> slack_watchman_log.json 

Требования к аутентификации

Slack API-токен

Для запуска Slack Watchman понадобится OAuth-токен доступа Slack API. Для этого создайте простое Slack-приложение.

Приложению необходимо добавить следующие User Token Scopes:

channels:read
files:read
groups:read
im:read
links:read
mpim:read
remote_files:read
search:read
team:read
users:read
users:read.email

Примечание: Пользовательские токены действуют от имени пользователя, который их авторизовал, поэтому я рекомендую создать и авторизовать это приложение с помощью сервисной учётной записи — в противном случае приложение получит доступ к вашим личным беседам и чатам.

Манифест приложения

Slack-приложения можно создавать из JSON-манифестов, которые определяют детали приложения и области действия, которые нужно утвердить. Манифест приложения для Slack Watchman находится в docs/app_manifest.json; с его помощью вы можете ускорить создание Slack-приложения.

Аутентификация с помощью cookie

Кроме того, Slack Watchman может аутентифицироваться в Slack с помощью пользовательской cookie d, которая хранится в браузере каждого пользователя, вошедшего в рабочее пространство.

Для аутентификации с помощью cookie необходимо указать cookie d и URL целевого рабочего пространства. Затем при запуске Slack Watchman нужно использовать флаг --cookie.

Подробнее об аутентификации с помощью cookie можно узнать в моём блоге

Передача токенов

Сначала Slack Watchman попытается получить Slack-токен (а также cookie-токен и URL, если они выбраны) из переменных окружения:

• SLACK_WATCHMAN_TOKEN
• SLACK_WATCHMAN_COOKIE
• SLACK_WATCHMAN_URL

Если это не удастся, он попытается загрузить токен(ы) из файла .conf (см. ниже).

Файл watchman.conf

Параметры конфигурации можно передать в файле с именем watchman.conf, который должен храниться в вашем домашнем каталоге. Файл должен соответствовать формату YAML и выглядеть следующим образом:

slack_watchman:
  token: xoxp-xxxxxxxx
  cookie: xoxd-%2xxxxx
  url: https://xxxxx.slack.com
  disabled_signatures:
    - tokens_generic_bearer_tokens
    - tokens_generic_access_tokens

Slack Watchman будет искать этот файл во время выполнения и использовать указанные в нём параметры конфигурации. Если вы не используете cookie-аутентификацию, оставьте cookie и url пустыми.

Если у вас возникли проблемы с файлом .conf, проверьте его с помощью YAML-линтера.

Пример файла находится в docs/example.conf.

Примечание: Значения Cookie и URL являются необязательными и не требуются, если вы не используете cookie-аутентификацию.

Установка