RedELK

红队的 SIEM——一个用于红队追踪和警报蓝队活动以及在长期行动中增强可用性的工具。

1. 增强的可用性和概览：为红队操作员提供中心位置，收集并丰富来自多个团队服务器的所有相关 运营 日志。这在行动中进行历史搜索以及为行动提供只读视图（例如，供白队使用）非常有用。尤其适用于多场景、多团队服务器、多成员和多月的行动。此外，查看所有截图、IOC、键盘记录输出等也变得极其简单。\o/
2. 发现蓝队：通过中心位置收集并丰富来自重定向器的所有 流量 日志。利用特定的查询，现在可以检测蓝队是否正在调查你的基础设施。

背景信息

查看维基获取使用信息，或参考以下博客文章或演示文稿：

• 博客第一部分：为什么我们需要 RedELK
• 博客第二部分：让您快速上手
• 博客第三部分：实现运营监督
• SANS Hackfest 2020：使用 RedELK 为您的红队注入超强动力 视频 和 幻灯片
• Hack in Paris 2019：谁监管监管者 视频 和 幻灯片
• x33fcon 2019：捕捉蓝队 OPSEC 失误 视频 和 幻灯片
• BruCon 2018：在红队行动中使用蓝队技术 视频 和 幻灯片

安装

查看维基获取手动安装指南。还有其他人维护的 Ansible playbook：

• RedELK 服务器 playbook —— 由 RedELK 的一名开发者维护
• RedELK 客户端 playbook —— 由 RedELK 的一名开发者维护
• ansible-redelk —— 由 curi0usJack/TrustedSec 维护

概念概览

以下是 RedELK 工作原理的概念概览。

作者与贡献

本项目由以下人员开发与维护：

• Marc Smeets（在 Github 和 Twitter 上 @MarcOverIP）
• Mark Bergman（在 Github 和 Twitter 上 @xychix）
• Lorenzo Bernardi（在 Github 和 Twitter 上 @fastlorenzo）
• Geert Smelt（在 GitHub 上 @Anthirian，BlueSky 上 @sme.lt，Mastodon 上 @gasmelt）

我们欢迎各种形式的贡献！无论是代码贡献，还是您对进一步开发、警报、可用性改进等方面的想法。