本GitHub仓库不再积极开发。我们会审查社区的问题和拉取请求以便修复bug，但不会考虑任何新功能添加。
RedEye 是一个开源分析工具，由 CISA 和 DOE 的 太平洋西北国家实验室 开发，旨在帮助 红队 可视化和报告指挥与控制活动。该工具允许操作员评估和展示复杂数据，评估缓解策略，并针对红队评估做出有效决策。该工具解析日志（例如来自 Cobalt Strike 的日志），并以易于理解的格式呈现数据。用户随后可以标记工具内显示的活动并添加评论。操作员可以使用 RedEye 的演示模式向利益相关者展示发现结果和工作流程。
RedEye 可以帮助操作员高效地：
| Red Team | Blue Team |
|---|---|
 |  |
MacOS 问题 - 首次运行RedEye时，可能会遇到“未验证”错误。您必须前往“系统偏好设置” > “安全性与隐私” > “通用”，然后点击“仍要打开”。更多信息请参阅 Apple支持页面。
RedEye 有两种模式，涵盖红队演练过程的两个阶段。红队模式允许导入C2数据、编辑导入的数据、添加注释和创建演示。在整理和标注活动数据后，红队可以将其活动导出为独立的 .redeye 文件，并移交给蓝队进行报告和修复。蓝队模式以简化的只读模式运行RedEye，用于查看红队导出的整理后数据。
注意：红队和蓝队模式都可以从同一个RedEye应用程序二进制文件启动。
下载的二进制文件由两部分组成：
RedEye 应用程序二进制文件parsers 文件夹，包含解析器二进制文件（例如 cobalt-strike-parser Cobalt Strike 日志解析器二进制文件）有三种选项可以以红队模式运行RedEye：
--redTeam 和密码选项：
./RedEye --redTeam --password <your_password>
docker-compose.yml 中的环境变量。docker-compose -f docker-compose.yml up -d redeye-core
蓝队模式是一个简化的只读UI，用于显示由红队整理、标注和导出的数据。该模式默认运行，以便蓝队更简单地启动。
蓝队版本可以通过双击“RedEye”应用程序二进制文件来运行。RedEye默认在 http://127.0.0.1:4000 运行，并会自动打开您的默认浏览器。
如果 campaigns 文件夹与 RedEye 应用程序位于同一目录，RedEye 将尝试导入其中的任何 .redeye 活动文件。活动文件可以在红队模式下导出。
要为蓝队准备版本，请遵循以下两个步骤：
RedEye 应用程序二进制文件复制到一个空文件夹。campaigns 文件夹，并将要发送的 .redeye 活动文件放入其中。Folder/
RedEye
campaigns/
Campaign-01.redeye
Campaign-02.redeye
.redeye 文件也可以在蓝队模式下通过“+ 添加活动”对话框上传。
此仓库中有可供下载的示例数据集。它们位于 ./applications/redeye-e2e/src/fixtures 文件夹中。
您可能想使用 download-directory.github.io 之类的工具仅下载GitHub仓库中的一个文件夹。
输入 ./Redeye -h 查看选项
-d, --developmentMode [boolean] put the database and server in development mode
-r, --redTeam [boolean] run the server in red team mode
--port [number] the port the server should be exposed at
-p, --password [string] the password for user authentication
--parsers [string...] A list of parsers to use or a flag to use all parsers in the parsers folder
-t, --childProcesses [number] max # of child processes the parser can use
-h, --help display help for command
您也可以在 RedEye 二进制文件旁边的 config.json 文件中配置服务器参数
{
"password": "937038570",
"redTeam": true,
"parsers": ["cobalt-strike-parser", "brute-ratel-parser"] // or true/false
}
npm install -g yarnyarn install // 安装所有包yarn release:all 为 Linux、macOS 和 Windows 构建二进制文件yarn release:(mac|windows|linux)安装 Node.js >= v16 通过 npm 全局安装 yarn
npm install -g yarn
安装包依赖
yarn install
以开发模式运行项目
yarn start
建议在两个单独的终端中运行服务器和客户端
yarn start:client
...在另一个终端中
yarn start:server
为 Linux、macOS 和 Windows 构建二进制文件
yarn release:all
要为特定平台构建，请将 all 替换为平台名称
yarn release:(mac|windows|linux)
