The DeRF

DeRF (Detection Replay Framework) — это фреймворк «Атаки как услуга», позволяющий эмулировать атакующие техники и генерировать повторяемые образцы обнаружений из пользовательского интерфейса — без необходимости для конечных пользователей устанавливать программное обеспечение, использовать CLI или обладать учетными данными в целевой среде.

Прочитайте анонс релиза

Прочитайте полную документацию

Развертывание

DeRF — это фреймворк для выполнения атак и генерации образцов обнаружений против ресурсов учетной записи AWS и проекта GCP. Этот фреймворк разворачивается в целевой учетной записи AWS и проекте GCP с помощью Terraform. Более подробные инструкции по развертыванию см. здесь.

Шаги развертывания

1. Выполните предварительные требования — см. Предварительные требования.
2. Выполните системные требования — см. Системные требования.
3. Клонируйте репозиторий Github на свою локальную систему.
   git clone https://github.com/vectra-ai-research/derf.git
4. Разверните The DeRF с помощью Terraform из директории ./env-prod.
   export AWS_PROFILE=PROFILE
terraform init -backend-config=derf.conf
terraform plan -var-file=derf.tfvars
terraform apply -var-file=derf.tfvars

Выполнение атак

Выполнение атак, нацеленных как на AWS, так и на GCP, осуществляется путем вызова рабочего процесса Google Cloud. Рабочие процессы могут быть вызваны либо в консоли Google Cloud, либо программно с помощью gcloud cli

Выполнение атак в консоли

1. Войдите в Консоль Google Cloud и перейдите на страницу рабочих процессов.
2. Нажмите на название рабочего процесса, соответствующего атаке, которую вы хотите выполнить.
3. Нажмите кнопку EXECUTE.
4. Обратитесь к панели Code справа и выберите, от имени какого пользователя выполнить атаку, скопировав один из возможных входных данных.
5. Вставьте выбранный JSON в панель Input слева.
6. Наконец, нажмите кнопку EXECUTE внизу экрана. Результаты атаки будут отображены в правой части экрана.

Выполнение атак программно

1. Убедитесь, что инструмент командной строки Google установлен локально. Обратитесь к поддерживаемой Google документации за инструкциями по установке gcloud cli
2. Аутентифицируйтесь в проекте Google Cloud, в котором развернут DeRF

gcloud auth login --project PROJECT_ID

3. Вызовите рабочий процесс конкретной атакующей техники с помощью gcloud cli. См. Google документацию для получения более полных инструкций по сервису рабочих процессов.

gcloud workflows run aws-ec2-get-user-data `--data={"user": "user01"}` 

Документация

Сборка документации локально

Документация этого проекта собирается с помощью mkdocs с материальной темой. Из корня этого проекта вы всегда можете запустить mkdocs, чтобы увидеть готовую документацию локально, или использовать цель make docs-serve, make docs-serve.

1. Установите зависимости Python

pip install mkdocs-material mkdocs-awesome-pages-plugin

2. Запустите сервер mkdocs

mkdocs serve --livereload

3. Перейдите в локально размещенную документацию в вашем браузере 127.0.0.1:8000

Благодарности

Мейнтейнер: @KatTraxler

Похожие проекты

• Status Red Team от DataDog
• CNAPPGoat от Ermetic
• Atomic Red Team от Red Canary
• Leonidas от F-Secure
• pacu от Rhino Security Labs
• Amazon GuardDuty Tester
• CloudGoat от Rhino Security Labs

Контакты

Если вы нашли этот инструмент полезным, хотите поделиться интересным сценарием использования, обратить внимание на проблемы, по любой причине — делитесь. Вы можете написать на электронную почту: [email protected].