Awesome 网络安全蓝队

精选的网络安全蓝队资源、工具和其他出色内容的合集。

网络安全蓝队 是由这样一群人组成的团队：他们识别信息技术系统中的安全缺陷，验证安全措施的有效性，并监控系统，确保已实施的防御措施在未来依然有效。虽然并非绝对，本列表明显偏向自由软件项目，而非专有产品或商业服务。有关攻击性 TTP（战术、技术与程序），请参阅 awesome-pentest。

衷心 ♥ 欢迎您的贡献和建议。(✿◕‿◕)。更多详情请参阅贡献指南。本作品采用知识共享署名 4.0 国际许可协议进行许可。

许多网络安全专业人士有意或无意地通过向地方、州和联邦警务机构提供服务，或以其他方式与这类机构合作，助长了种族主义的国家暴力。这种恶行通常通过雇佣这一强制性机制发生，并以失去食物、住所或医疗保健的威胁为后盾。尽管本列表公开可用，维护者的意图和希望是：本列表能够支持那些致力于对抗这种大规模但平庸的恶的人与组织。

撤销警察经费。

目录

• 自动化与约定
  • 代码库与绑定
  • 安全编排、自动化与响应（SOAR）
• 云平台安全
  • 分布式监控
  • Kubernetes
  • 服务网格
• 通信安全（COMSEC）
• DevSecOps
  • 应用或二进制加固
  • 合规性测试与报告
  • 依赖混淆
  • 模糊测试
  • 策略执行
  • 供应链安全
• 蜜罐
  • Tarpits
• 基于主机的工具
  • 沙箱
• 身份与认证/授权（AuthN/AuthZ）
• 事件响应工具
  • IR 管理控制台
  • 证据收集
• 网络边界防御
  • 防火墙设备或发行版
• 操作系统发行版
• 钓鱼意识与报告
• 应急准备训练与兵棋推演
  • 任务后分析与报告
• 安全配置
• 安全监控
  • 端点检测与响应（EDR）
  • 网络安全监控（NSM）
  • 安全信息与事件管理（SIEM）
  • 服务与性能监控
  • 威胁狩猎
• 威胁情报
  • 指纹识别
  • 威胁签名包与集合
• Tor Onion 服务防御
• 传输层防御
  • 覆盖网络与虚拟专用网络（VPN）
• 基于 macOS 的防御
• 基于 Windows 的防御
  • Active Directory

自动化与约定

• Ansible Lockdown - 经过审查且积极维护的信息安全主题 Ansible 角色精选集。
• Clevis - 可插拔的自动解密框架，通常用作 Tang 客户端。
• DShell - 用 Python 编写的可扩展网络取证分析框架，支持快速开发插件以解析网络数据包捕获。
• Dev-Sec.io - 服务器加固框架，提供各种基线安全配置的 Ansible、Chef 和 Puppet 实现。
• Password Manager Resources - 协作式、众包的数据和代码，旨在改善密码管理。
• peepdf - 可脚本化的 PDF 文件分析器。
• PyREBox - 基于 QEMU 的、可通过 Python 脚本控制的逆向工程沙箱。
• Watchtower - 基于容器的解决方案，用于自动化 Docker 容器基础镜像更新，提供无人值守的升级体验。

代码库与绑定

• MultiScanner - 用 Python 编写的文件分析框架，通过自动对一组文件运行一系列工具并汇总输出，帮助评估这些文件。
• Posh-VirusTotal - VirusTotal.com API 的 PowerShell 接口。
• censys-python - Censys REST API 的 Python 封装。
• libcrafter - 高级 C++ 网络数据包嗅探与构造库。
• python-dshield - Internet Storm Center/DShield API 的 Python 风格接口。
• python-sandboxapi - 用于与恶意软件沙箱集成的极简、一致的 Python API。
• python-stix2 - 用于序列化和反序列化结构化威胁信息表达式（STIX）JSON 内容的 Python API，以及用于常见任务的高级 API。

安全编排、自动化与响应（SOAR）

另请参阅 安全信息与事件管理（SIEM） 和 IR 管理控制台。

• Shuffle - 面向 IT 专业人员和蓝队成员的图形化通用工作流（自动化）构建器。

云平台安全

另请参阅 asecure.cloud/tools。

• Aaia - 借助 Neo4j，以图形格式帮助可视化 AWS IAM 和 Organizations。
• Falco - 行为活动监视器，通过审计 Linux 内核并利用 Kubernetes 指标等运行时数据增强，旨在检测容器化应用、主机和网络数据包流中的异常活动。
• Kata Containers - 安全容器运行时，采用轻量级虚拟机，其体验和性能与容器无异，但通过硬件虚拟化技术提供更强的工作负载隔离，作为第二道防御层。
• Principal Mapper (PMapper) - 通过脚本和库快速评估 AWS 中的 IAM 权限，能够识别 AWS 账户或 AWS 组织的 AWS 身份与访问管理（IAM）配置中的风险。
• Prowler - 基于 AWS-CLI 命令的工具，用于 Amazon Web Services 账户安全评估与加固。
• Scout Suite - 开源多云安全审计工具，可对云环境进行安全态势评估。
• gVisor - 用 Go 编写的应用内核，实现了 Linux 系统接口的很大一部分，在应用与主机内核之间提供隔离边界。

分布式监控

另请参阅 § 服务与性能监控。

• Cortex - 为 Prometheus 提供水平可扩展、高可用、多租户的长期存储。
• Jaeger - 分布式追踪平台后端，用于监控和排查基于微服务的分布式系统。
• OpenTelemetry - 云原生软件的可观测性框架，包含一组工具、API 和 SDK，用于将应用性能指标导出到追踪后端（原由 OpenTracing 和 OpenCensus 项目维护）。
• Prometheus - 开源系统监控与告警工具包，最初由 SoundCloud 构建。
• Zipkin - 分布式追踪系统后端，帮助收集排查服务架构中延迟问题所需的时序数据。

Kubernetes

另请参阅 Kubernetes-Security.info。

• KubeSec - Kubernetes 清单的静态分析器，可在本地、作为 Kubernetes 准入控制器或作为独立云服务运行。
• Kyverno - 专为 Kubernetes 设计的策略引擎。
• Linkerd - 超轻量、面向 Kubernetes 的服务网格，无需修改应用本身即可为 Kubernetes 应用增加可观测性、可靠性和安全性。
• Managed Kubernetes Inspection Tool (MKIT) - 查询并验证托管 Kubernetes 集群对象以及集群内运行的工作负载/资源的若干常见安全相关配置设置。
• Polaris - 通过对代码提交、Kubernetes 准入请求或集群中已运行的实时资源执行测试，验证 Kubernetes 最佳实践。
• Sealed Secrets - Kubernetes 控制器和工具，用于单向加密的 Secrets。
• certificate-expiry-monitor - 将 TLS 证书过期时间以 Prometheus 指标形式暴露的实用工具。
• k-rail - Kubernetes 工作负载策略执行工具。
• kube-forensics - 允许集群管理员转储正在运行的 Pod 及其所有容器的当前状态，以便安全专业人员进行离线取证分析。
• kube-hunter - 开源工具，从集群外部（“攻击者视角”）或集群内部运行一组安全测试（“猎手”），查找 Kubernetes 集群中的安全问题。
• kubernetes-event-exporter - 允许将经常被忽略的 Kubernetes 事件导出到各种输出端，以便用于可观测性或告警目的。

服务网格

另请参阅 ServiceMesh.es。

• Consul - 用于在动态、分布式基础设施中连接和配置应用的解决方案；并通过 Consul Connect，以自动 TLS 加密和基于身份的授权实现安全的服务间通信。
• Istio - 开放平台，提供统一的方式来集成微服务、管理微服务间的流量、执行策略并聚合遥测数据。

通信安全（COMSEC）

另请参阅 传输层防御。