Manuka

Описание

Manuka — это honeypot для разведки на основе открытых источников (OSINT), который отслеживает попытки разведки со стороны угроз и генерирует полезную информацию для синей команды. Он создаёт симулированную среду, состоящую из подготовленных OSINT-источников, таких как профили в социальных сетях и утекшие учётные данные, и отслеживает признаки интереса противника, тесно согласуясь с фреймворком MITRE PRE-ATT&CK. Manuka предоставляет синей команде дополнительную видимость фазы разведки до атаки и генерирует сигналы раннего предупреждения для защитников.

Хотя они различаются по масштабу и сложности, большинство традиционных honeypot сосредоточены на сетях. Эти honeypot выявляют атакующих на этапах 2 (Создание оружия) – 7 (Достижение целей) киберцепочки атаки, предполагая, что атакующие уже зондируют сеть.

Manuka осуществляет обнаружение OSINT-угроз на этапе 1 (Разведка) киберцепочки атаки. Несмотря на многомиллионные инвестиции в сетевую защиту, организации могут быть легко скомпрометированы с помощью одного поиска в Google. Недавний пример — хакеры, раскрывшие корпоративные совещания, сеансы терапии и университетские занятия через звонки Zoom, оставленные в открытом доступе. Предприятиям необходимо обнаруживать такие OSINT-угрозы на своём периметре, но им не хватает инструментов для этого.

Manuka спроектирован для масштабирования. Пользователи могут легко добавлять новые модули-прослушиватели и подключать их к Docker-среде. Они могут одновременно координировать несколько кампаний и honeypot, расширяя поверхность honeyport. Кроме того, пользователи могут быстро настраивать и развёртывать Manuka под различные сценарии использования. Данные Manuka спроектированы так, чтобы их можно было легко переносить в сторонние инструменты анализа и визуализации в рабочем процессе организации.

Разработка OSINT-honeypot представляет собой новую задачу из-за сложности и широкого спектра OSINT-техник. Однако такой инструмент позволил бы синей команде «сдвинуться влево» в своей стратегии киберразведки.

Панель управления

Архитектура инструмента

Архитектура

Manuka построен на следующих ключевых терминах и процессах.

• Источники: Возможные OSINT-векторы, такие как профили в социальных сетях, раскрытые учётные данные и утекший исходный код.
• Прослушиватели: Серверы, которые отслеживают источники на предмет взаимодействия с атакующими.
• Попадания: Индикаторы интереса, такие как попытки входа с утекшими учётными данными и подключения в социальных сетях.
• Honeypot: Группы источников и прослушивателей, организованные в единую кампанию, которая анализирует и отслеживает попадания с течением времени.

Системная архитектура

Сам фреймворк состоит из нескольких Docker-контейнеров, которые могут быть развёрнуты на одном хосте.

• manuka-server: Центральный сервер на Go, выполняющий CRUD-операции и принимающий попадания от прослушивателей.
• manuka-listener: Модульный сервер на Go, который может выполнять различные роли прослушивателя.
• manuka-client: React-панель управления для синей команды для управления ресурсами Manuka.

Эти контейнеры оркестрируются с помощью одной команды docker-compose.

Разработка

В режиме разработки компоненты работают на следующих портах в своих контейнерах:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

Чтобы клиент и сервер могли взаимодействовать без проблем CORS, дополнительный слой nginx на localhost:8080 проксирует /api/ на manuka-server, а / на manuka-listener.

Кроме того, manuka-listener работает на следующих портах:

1. 8081 для подставной страницы входа
2. 8082 для взаимодействия с подставной электронной почтой

Требования

Требования указаны в репозиториях отдельных компонентов.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Настройка

1. Создайте файл docker/secrets/postgres_password с паролем для Postgres.
2. Настройте учётную запись Google для Gmail, чтобы получать письма от профилей в социальных сетях.
3. Настройте Google Cloud Pub/Sub на https://console.cloud.google.com/cloudpubsub для функции push-уведомлений по электронной почте (руководство: https://developers.google.com/gmail/api/guides/push). В руководстве также будут инструкции по созданию облачного проекта.
4. Создайте файл docker/secrets/google_credentials.json с учётными данными вашего проекта.
5. Добавьте тему, созданную в Cloud Pub/Sub, в файл docker/secrets/google_topic.
6. Получите oauth2-токен для вашей учётной записи Google. Manuka требует oauth2-токен при первом запуске. Впоследствии он будет автоматически обновлять токен. Сохраните токен в docker/secrets/google_oauth2_token.json.

Запуск

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. Инициализируйте push-сервис Gmail для manuka-listener:
   1. Инициализируйте ngok: ./ngok http <manuka-listener port> и запишите полученный HTTPS-URL.
   2. В панели управления Google PubSub в левом меню перейдите в Подписки -> <имя подписки> -> Редактировать подписку и измените URL конечной точки на /notifications.
   3. Попробуйте отправить письмо с другого аккаунта на целевую учётную запись Gmail. В консоли ngrok вы должны увидеть POST /notifications 200 OK, а в консоли Docker — Received push notification.

Production

В production-режиме следующие порты сопоставлены с серверами:

1. 8080: manuka-client на / и manuka-server на /api
2. 80: manuka-listener-login на / и manuka-listener-social на /notifications

Это позволяет любому домену, указывающему на ваш сервер, отображать подставную страницу входа, в то время как панель управления доступна на порту 8080. Кроме того, панель управления защищена HTTP-базовой аутентификацией на уровне nginx.

Требования

Требования указаны в репозиториях отдельных компонентов.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

Настройка

1. Аналогично настройке для разработки, убедитесь, что все секреты и настройки Google Cloud установлены. Обратите внимание, что URL подписки теперь должен быть http://DOMAIN/notifications.
2. Направьте ваше доменное имя на IP-адрес сервера.
3. Скопируйте docker/nginx/nginx.prod.conf.example в docker/nginx/nginx.prod.conf и замените examplecompany.com на ваш production-домен.
4. Запустите init-letsencrypt.sh для генерации SSL-сертификатов.

Запуск

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME и NGINX_PASSWORD будут учётными данными для базовой аутентификации панели управления.
   2. COMPANY_NAME будет названием компании на подставной странице входа.

Текущие поддерживаемые прослушиватели

1. Социальный прослушиватель