Платформа управления инцидентами безопасности (FIR) [Fast Incident Response]

FIR - легковесная платформа управления инцидентами безопасности . Она позволит легко создавать инцидетны, отслеживать их, а так же генерировать репорты по ним.

https://github.com/certsocietegenerale/FIR

Презентация:

https://2015.rmll.info/IMG/pdf/fir-rmll2015.pdf

Платформа подойдет для трекинга инцидентов CSIRTs, CERTs, SOCs, etc.

Я рассмотрю быстрое развертывание (не продакшн) на базе виртуалки с Ubuntu server 15 на борту:

#apt-get update
#apt-get install python-dev python-pip python-lxml git libxml2-dev libxslt1-dev libz-dev
#pip install virtualenv

Создаем виртуальное окружение:
#virtualenv env-FIR
#source env-FIR/bin/activate
#git clone https://github.com/certsocietegenerale/FIR.git

#cd FIR
#pip install -r requirements.txt

Активируем плагины:

#cp fir/config/installed_apps.txt.sample fir/config/installed_apps.txt 

#./manage.py migrate
#./manage.py loaddata incidents/fixtures/seed_data.json
#./manage.py loaddata incidents/fixtures/dev_users.json
Стартуем:

#./manage.py runserver 192.168.1.16:8000

Если разворачивать платформу в продакшн, есть отдельный гайд:

https://github.com/certsocietegenerale/FIR/wiki/Installation-on-a-production-environment 

Если система приживется, возможно разверну и опишу тонкости  процесса позже.

Дефолтный доступ: admin:admin

В итоге имеем простую, гибкую и кастомизируемую "тикет систему" с ИБ уклоном.

 Система базируется на Django.

FortiSandbox Fortinet [sniffer] part1.1

Опыт развертывания FortiSandbox, системы динамического + статического анализа файлов от компании Fortinet.

         

Часть 1.1



После установки и базовой настройки, я создал vswitch (vlan999) в промискус-моде, и подключил туда 3 устройства:

• FortiSandbox, портом "port6"
• Windows 7
• Ubuntu Server 15 с апачем на борту.

Настройка порта на санбоксе:

FortiSandbox Fortinet [ basic install / configure ] [part1.0]

Опыт развертывания FortiSandbox, системы динамического + статического анализа файлов от компании Fortinet.

Часть 1.0

Ко мне на тест попал виртуальный аплайнс для развертывания на гипервизорах vmware.
После запроса лицензий инстанс был зарегистрирован в базе форти и был сгенерирован файл для активации виртуалки (.lic)

Установка и настройка Fortisandbox:

Обязательным условием является поддержка CPU опций:
Intel Virtualization Technology (VT-x/EPT) или AMD Virtualization (AMD-V/RVI),
а так же в BIOS должен быть включен -  Virtualization Technology and 64-bit support.
На своем ESXI (6я версия) я добавил строчку:

[root@localhost:~] cat /etc/vmware/config
libdir = "/usr/lib/vmware"
authd.proxy.nfc = "vmware-hostd:ha-nfc"
authd.proxy.nfcssl = "vmware-hostd:ha-nfcssl"
authd.proxy.vpxa-nfcssl = "vmware-vpxa:vpxa-nfcssl"
authd.proxy.vpxa-nfc = "vmware-vpxa:vpxa-nfc"
authd.fullpath = "/sbin/authd"
vhv.enable = "TRUE"

Деплоим .ovf контейнер, настраиваем ip адрес на порту "port1" (ip адрес будет нужен на этапе генерации лицензий)




После деплоя, запускаем, ждем пока закончится разметка волумов, и инициализация бд.
Заходим, admin:пусто.
Прописываем адрес и гейт:
> set port1-ip 192.168.1.123/24
> set default-gw 192.168.1.1

Скачиваем файл лицензий, и заливаем их через Web-iface. (https://192.168.1.123)

Tor + SwitchyOmega + Chrome [.onion auto-proxy]

Связка простая:

Скачиваем Tor бандл с офф сайта :
https://www.torproject.org/download/download.html.en или
https://www.torproject.org/dist/torbrowser/5.5.1/tor-win32-0.2.7.6.zip

Анпачим архив, запускаем проксю:

Эксплойты для эскалации привилегий в Windows

Коллекция эксплойтов для поднятия привилегий в системах симейства Windows NT

[Exploit collection for NT operating system privilege escalation.]

https://github.com/dev-zzo/exploits-nt-privesc

Fast Malware Sandbox Create [Noriben+VMware+Windows+LOKI]

Мой опыт быстрого развертывания портативной среды анализа малвари, на основе vmware и noribien. (аналог Cuckoo)

Скачать все тулзы (что ниже) одним архивом + батники запуска анализа:

https://mega.nz/#F!cAc0XSAA!gyHheyBPOeQ_M44U77DXaw
Или собираем с самыми свежими версиями софта:

VMware
Для начала устанавливаем VMware Workstation. На момент теста у меня стояла 12.1.0 build-3272444. (Pro)
После чего устанавливаем VMware VIX 1.15.0 API for Windows 64-bit operating systems (для каждой вервии вари свой vix)
для 12.1.0 вари: http://www.tuinformaticafacil.com/descargas-gratis/virtualizacion/vmware/vmware-vix-api-para-windows-32-bit-y-64-bit

Windows Malware VM
Для быстроты развертывания можно взять готовый образ Windows XP с официального сайта мелкософта: https://dev.windows.com/en-us/microsoft-edge/tools/vms/windows/

Скачиваем образ по варю и деплоим виртуалку.

После деплоя, нужно довесить сетевуху и обновить vmware-tools, ребутимся.

Далее скачиваем необходимый софт:

PE injector [MITM PE file infector]

Инжект в PE своей кастомной полезной нагрузки без изменений основного функционала оригинального файла. Пачинг PE происходит во время передачи файла.

https://peinjector.eu/

https://github.com/JonDoNym/peinjector

Готовый образ да малины (все предустановленно):

https://github.com/JonDoNym/peinjector/wiki/Guide:-Raspberry-Pi-image

• Download from Google Drive
• Download from Dropbox
• Download from OneDrive
• Download from 0x1337.eu

SSH:
user: root
pass: raspberry
Ports:
3333: python webserver (GUI)
31337: peinjector data port (communication proxy <-> peinjector)
31338: peinjector control port (communication GUI <-> peinjector)
8080: proxy

Twitter sec memories #2 [04.02.15] (HTTP botnet / Android app analysis vm / Router Hunter / MITM vm )

Моя подборка тулз и заметок по ИБ в одном посте #2
(наиболее интересное что накопилось за пару дней)

Терминальный дашборд:

https://github.com/gizak/termui

Сетап:

master mirrors v2 branch, to install:

go get -u github.com/gizak/termui
For the compatible reason, you can choose to install the legacy version of termui:

go get gopkg.in/gizak/termui.v1

HTTP BOTNET Betabot 1.8.0.0.1(Private Version)

https://userscloud.com/xm8wih87ypca

https://mega.nz/#!hV0RQTQS!T82bIE1X2ZkjeGerkQvU8WgAniMM1ZIqtqs6lIjd4e4

(делать все только на виртуалке)

AndroL4b -виртуалка для реверса приложений для видроида. (A Virtual Machine For Assessing Android applications, Reverse Engineering and Malware Analysis)

Download

The tools directory contains tools and frameworks. Labs are in Lab directory.

username : andro
password : androlab

https://github.com/sh4hin/Androl4b

RouterhunterBR 2.0 - тестирование роутеров на уязвимости (automated Tool for Testing in Vulnerable Routers)

Random ips:

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --randomip --limitip 10 --threads 10 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 -rip -lmtip 10 --threads 10

Scanner in range ip: 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --range 192.168.25.0-255 --threads 10
IP range customized with wildcard / Ex: --startip 201.*.*.* - --endip 201.*.*.* 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --startip 192.168.*.* --endip 192.168.*.* --threads 10

Brute force with users and passwords on routers that requires authentication, forcing alteration of dns - DSLink 260E. 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.4 --range 177.106.19.65-70 --bruteforce --threads 10

https://github.com/jh00nbr/Routerhunter-2.0

MITM Virtual Machine

git clone https://github.com/praetorian-inc/mitm-vm.git 

cd mitm-vm 

vagrant up

cobalt-strike_v3.1/2.5 + Beef-xss + Veil-Evasion [plugins]

[ cobaltstrike V 3.1 + 2.5 cracked By AchillePower ]

https://userscloud.com/sa9lwva1lddm

https://userscloud.com/p727yjg8enz3

https://mega.nz/#F!ZJkX3azQ!YQet3tv0RINmhY44lkGnlQ

в 3й версии:
./teamserver 192.168.102.123 password
./cobaltstrike

версии ниже достаточно:
./cobaltstrike

стартуем базу:
#service postgresql start

автозагрузка:
#update-rc.d postgresql enable

проваливаемся в папке кобальта:
cd /path/to/cobaltstrike
./cobaltstrike

[Beef-xss Plugin] (for cobalt v2)

https://mega.nz/#F!BRk3wLAR!U_QQYxDTKCuH-mISeFXA8A

git clone https://github.com/benyG/cortana-scripts

копируем папку beef_strike из cortana-scripts в /root/
копируем библиотеки из архива (зеркало) в папку /beef_strike/lib
после чего запускаем Armitage.

Подгружаем скрипт beef_strike.cna (если папка beef_strike находится не в каталоге /root/, редактируем файл beef_strike.cna, изменяем пути импорта)

[ Veil-Evasion Plugin] (for cobalt v2)

Скачать и установить: http://devnulls.blogspot.com/2015/12/exel-exel-macros-payload-generate.html

git clone https://github.com/Veil-Framework/Veil

chmod +x install.sh

./install.sh

добавляем скрипт через cobalt-strike из каталога:

~/payloads/Veil/Veil-Evasion/tools/cortana/veil_evasion.cna

И прописываем валидные пути к каталогу в кобальте. 

Архитектура и стратегия информационной безопасности Cisco (SAFE)

Схема (полный размер):

https://mega.nz/#!AcMFzYxS!ubFUys8m4LC-jc8WnZsjCjIn_cTHR1ey59VhXagE9cE

Дока от цыски на русском:

http://www.cisco.com/web/RU/downloads/broch/Cisco_Security_Architecture.pdf