Что такое MacHound

MacHound — это расширение для инструмента аудита Bloodhound, позволяющее собирать и загружать отношения Active Directory на хостах MacOS. MacHound собирает информацию о вошедших в систему пользователях и членах административных групп на Mac-машинах и загружает её в базу данных Bloodhound. В дополнение к использованию рёбер HasSession и AdminTo, MacHound добавляет три новых ребра в базу данных Bloodhound:

• CanSSH — субъект, которому разрешён SSH доступ к хосту
• CanVNC — субъект, которому разрешён VNC доступ к хосту
• CanAE — субъект, которому разрешено выполнение скриптов AppleEvent на хосте

Чтобы узнать больше о MacHound, обратитесь к вступительной статье

Сбор данных

Вошедшие в систему пользователи (HasSession)

MacHound использует API utmpx для запроса текущих активных пользователей и OpenDirectory и API членства для проверки пользователей Active Directory.

Административные группы

MacHound собирает членов Active Directory из следующих локальных административных групп:

admin

Локальная административная группа, предоставляющая возможность выполнения операций от root.

com.apple.access_ssh

Члены этой локальной группы имеют доступ к службе удаленного входа (SSH).

com.apple.remote_ae

Члены этой локальной группы могут удаленно выполнять скрипты AppleEvent.

com.apple.access_screensharing

Члены этой локальной группы имеют доступ к службе общего доступа к экрану (VNC)

Компоненты

MacHound состоит из двух основных компонентов: сборщика (collector) и загрузчика (ingestor).

Сборщик

Сборщик MacHound — это скрипт на Python3.7, который запускается локально на хостах MacOS, присоединённых к Active Directory. Сборщик запрашивает локальный OpenDirectory и Active Directory для получения информации о привилегированных пользователях и группах. Результатом выполнения является JSON-файл, содержащий всю собранную информацию.

Загрузчик

Загрузчик MacHound — это скрипт на Python3.7, который разбирает выходные JSON-файлы (по одному на хост), подключается к базе данных neo4j и вставляет рёбра в базу данных. Загрузчик использует библиотеку neo4j для Python для запроса информации из базы данных neo4j и записи в неё. Загрузчик должен выполняться на хосте, имеющем TCP-доступ к базе данных neo4j.

Начало работы

Требования

MacHound требует Python3.7. Загрузчику требуется библиотека neo4j для Python3.7. ‏

Сборщик

Развёртывание

Сборщик должен быть развёрнут и запущен локально на Mac. Результат сохраняется локально и должен быть передан на хост с загрузчиком. Сборщик использует встроенные библиотеки Python3.7 и не требует дополнительных установок. MacHound может быть скомпилирован как приложение с помощью библиотеки py2app для упрощения развёртывания.

Использование

По умолчанию сборщик не принимает аргументов, запрашивает всю информацию и записывает выходной файл в ./output.json. Сборщик должен выполняться от пользователя root.

collector.py -o <output_file> -c <Admin,CanSSH,CanVNC,CanAE,HasSession> [-v] [-l log_file_path]

Загрузчик

Загрузчик должен быть развёрнут на хосте, имеющем прямой TCP-доступ к базе данных neo4j Bloodhound, желательно локально на сервере базы данных neo4j, чтобы избежать рисков безопасности. Загрузчику требуется установка драйвера neo4j для Python (см. файл requirements).

ingestor.py <url_to_neo4j> -u <username> -p <password> -i <json_folder>

Лицензия

MacHound распространяется под лицензией GPL-3.0. Подробнее см. LICENSE.md.

Свяжитесь с нами

По любым вопросам, предложениям, сообщениям об ошибках, пожалуйста, свяжитесь по адресу [email protected]