Manuka

Описание

Manuka — это honeypot для разведки на основе открытых источников (OSINT), который отслеживает попытки разведки со стороны угроз и генерирует полезную информацию для синей команды. Он создаёт симулированную среду, состоящую из подготовленных OSINT-источников, таких как профили в социальных сетях и утекшие учётные данные, и отслеживает признаки интереса противника, тесно согласуясь с фреймворком MITRE PRE-ATT&CK. Manuka предоставляет синей команде дополнительную видимость фазы разведки до атаки и генерирует сигналы раннего предупреждения для защитников.

Хотя они различаются по масштабу и сложности, большинство традиционных honeypot сосредоточены на сетях. Эти honeypot выявляют атакующих на этапах 2 (Создание оружия) – 7 (Достижение целей) киберцепочки атаки, предполагая, что атакующие уже зондируют сеть.

Manuka осуществляет обнаружение OSINT-угроз на этапе 1 (Разведка) киберцепочки атаки. Несмотря на многомиллионные инвестиции в сетевую защиту, организации могут быть легко скомпрометированы с помощью одного поиска в Google. Недавний пример — хакеры, раскрывшие корпоративные совещания, сеансы терапии и университетские занятия через звонки Zoom, оставленные в открытом доступе. Предприятиям необходимо обнаруживать такие OSINT-угрозы на своём периметре, но им не хватает инструментов для этого.

Manuka спроектирован для масштабирования. Пользователи могут легко добавлять новые модули-прослушиватели и подключать их к Docker-среде. Они могут одновременно координировать несколько кампаний и honeypot, расширяя поверхность honeyport. Кроме того, пользователи могут быстро настраивать и развёртывать Manuka под различные сценарии использования. Данные Manuka спроектированы так, чтобы их можно было легко переносить в сторонние инструменты анализа и визуализации в рабочем процессе организации.

Разработка OSINT-honeypot представляет собой новую задачу из-за сложности и широкого спектра OSINT-техник. Однако такой инструмент позволил бы синей команде «сдвинуться влево» в своей стратегии киберразведки.

Панель управления

Архитектура инструмента

Архитектура

Manuka построен на следующих ключевых терминах и процессах.

• Источники: Возможные OSINT-векторы, такие как профили в социальных сетях, раскрытые учётные данные и утекший исходный код.
• Прослушиватели: Серверы, которые отслеживают источники на предмет взаимодействия с атакующими.
• Попадания: Индикаторы интереса, такие как попытки входа с утекшими учётными данными и подключения в социальных сетях.
• Honeypot: Группы источников и прослушивателей, организованные в единую кампанию, которая анализирует и отслеживает попадания с течением времени.

Системная архитектура

Сам фреймворк состоит из нескольких Docker-контейнеров, которые могут быть развёрнуты на одном хосте.

• manuka-server: Центральный сервер на Go, выполняющий CRUD-операции и принимающий попадания от прослушивателей.
• manuka-listener: Модульный сервер на Go, который может выполнять различные роли прослушивателя.
• manuka-client: React-панель управления для синей команды для управления ресурсами Manuka.

Эти контейнеры оркестрируются с помощью одной команды docker-compose.

Разработка

В режиме разработки компоненты работают на следующих портах в своих контейнерах:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Чтобы клиент и сервер могли взаимодействовать без проблем CORS, дополнительный слой nginx на localhost:8080 проксирует /api/ на manuka-server, а / на manuka-listener.

Кроме того, manuka-listener работает на следующих портах:

1. 8081 для подставной страницы входа
2. 8082 для взаимодействия с подставной электронной почтой

Требования

Требования указаны в репозиториях отдельных компонентов.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Настройка

1. Создайте файл docker/secrets/postgres_password с паролем для Postgres.
2. Настройте учётную запись Google для Gmail, чтобы получать письма от профилей в социальных сетях.
3. Настройте Google Cloud Pub/Sub на https://console.cloud.google.com/cloudpubsub для функции push-уведомлений по электронной почте (руководство: https://developers.google.com/gmail/api/guides/push). В руководстве также будут инструкции по созданию облачного проекта.
4. Создайте файл docker/secrets/google_credentials.json с учётными данными вашего проекта.
5. Добавьте тему, созданную в Cloud Pub/Sub, в файл docker/secrets/google_topic.
6. Получите oauth2-токен для вашей учётной записи Google. Manuka требует oauth2-токен при первом запуске. Впоследствии он будет автоматически обновлять токен. Сохраните токен в docker/secrets/google_oauth2_token.json.

Запуск

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Инициализируйте push-сервис Gmail для manuka-listener:
   1. Инициализируйте ngok: ./ngok http <manuka-listener port> и запишите полученный HTTPS-URL.
   2. В панели управления Google PubSub в левом меню перейдите в Подписки -> <имя подписки> -> Редактировать подписку и измените URL конечной точки на /notifications.
   3. Попробуйте отправить письмо с другого аккаунта на целевую учётную запись Gmail. В консоли ngrok вы должны увидеть POST /notifications 200 OK, а в консоли Docker — Received push notification.

Production

В production-режиме следующие порты сопоставлены с серверами:

1. 8080: manuka-client на / и manuka-server на /api
2. 80: manuka-listener-login на / и manuka-listener-social на /notifications

Это позволяет любому домену, указывающему на ваш сервер, отображать подставную страницу входа, в то время как панель управления доступна на порту 8080. Кроме того, панель управления защищена HTTP-базовой аутентификацией на уровне nginx.

Требования

Требования указаны в репозиториях отдельных компонентов.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Настройка

1. Аналогично настройке для разработки, убедитесь, что все секреты и настройки Google Cloud установлены. Обратите внимание, что URL подписки теперь должен быть http://DOMAIN/notifications.
2. Направьте ваше доменное имя на IP-адрес сервера.
3. Скопируйте docker/nginx/nginx.prod.conf.example в docker/nginx/nginx.prod.conf и замените examplecompany.com на ваш production-домен.
4. Запустите init-letsencrypt.sh для генерации SSL-сертификатов.

Запуск

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME и NGINX_PASSWORD будут учётными данными для базовой аутентификации панели управления.
   2. COMPANY_NAME будет названием компании на подставной странице входа.

Текущие поддерживаемые прослушиватели

1. Социальный прослушиватель

   Отслеживает социальную активность в Facebook и LinkedIn. В настоящее время поддерживает уведомления о попытках сетевого подключения. Обратите внимание, что на отслеживаемом(ых) аккаунте(ах) в социальных сетях должно быть включено уведомление по электронной почте. Соответствующие учётные записи электронной почты, получающие уведомления от социальных платформ, должны быть настроены на пересылку этих писем на централизованную учётную запись Gmail.

2. Прослушиватель входа

   Отслеживает попытки входа с использованием утекших учётных данных на сайте honeypot.

Прочее

Категория

OSINT — Разведка на основе открытых источников

Благодарности

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock