REDELK的安装和使用

$ FilebeatID是filebeat中重定向器的标识符。
$ ScenarioName是重定向器用于攻击方案的名称。
$ip/dns:port是filebeat日志发送的IP或DNS名称和端口的信息，这将是redelk服务器的IP/dns。即使使用默认端口（TCP/5044），也需要将其作为参数提供。

此脚本将设置时区（默认为Europe / Amsterdam，但您可以在脚本中更改此内容），安装filebeat和依赖项，安装所需证书，修改filebeat配置并启动filebeat。

(1).HAProxy细节

RedELK需要修改默认的haproxy配置才能记录更多详细信息。

在“默认值”部分：

log-format frontend:%f/%H/%fi:%fp\ backend:%b\ client:%ci:%cp\ GMT:%T\ useragent:%[capture.req.hdr(1)]\ body:%[capture.req.hdr(0)]\ request:%r

在“前端”部分：

declare capture request len 40000
http-request capture req.body id 0
capture request header User-Agent len 512

(2).HAProxy配置文件示例

下面的配置是haproxy的一个运行示例。这适用于默认的Cobalt Strike配置文件

log 127.0.0.1 local2 debug
  maxconn 2000
  user haproxy
  group haproxy

defaults
  log     global
  mode    http
  option  httplog
  option  dontlognull
  retries 3
  option redispatch
  timeout connect  5000
  timeout client  10000
  timeout server  10000
  log-format frontend:%f/%H/%fi:%fp\ backend:%b\ client:%ci:%cp\ GMT:%T\ useragent:%[capture.req.hdr(1)]\ body:%[capture.req.hdr(0)]\ request:%r

frontend www-https
  option http-buffer-request
  declare capture request len 40000
  http-request capture req.body id 0
  capture request header User-Agent len 512
  log /dev/log local2 debug
  bind :::443 v4v6 ssl crt /etc/letsencrypt/live/haproxy.pem 
  reqadd X-Forwarded-Proto:\ https
  acl path_cs path -m beg /dpixel
  acl path_cs path -m beg /submit.php
  acl path_cs path_reg  ^/[0-z][0-z][0-z][0-z]$ 
  use_backend cobaltstrike-https if path_cs
  default_backend www-decoy
  timeout client 1m

frontend www-http
  mode http
  option http-buffer-request
  declare capture request len 40000
  http-request capture req.body id 0
  capture request header User-Agent len 512
  log /dev/log local2 debug
  bind :::80 v4v6
  reqadd X-Forwarded-Proto:\ http
  acl path_cs path -m beg /dpixel
  acl path_cs path -m beg /submit.php
  acl path_cs path_reg  ^/[0-z][0-z][0-z][0-z]$ 
  use_backend cobaltstrike-http if path_cs
  default_backend www-decoy
  timeout client 1m

backend www-decoy
  mode http
  http-request set-header Host localhost
  server localhost localhost:80

backend cobaltstrike-https
  option forwardfor
  server teamserver ${FQDNteamserver}:443 check ssl verify none

backend cobaltstrike-http
  option forwardfor
  server teamserver ${FQDNteamserver}:80

$ FilebeatID是filebeat中teamserver的标识符。
$ ScenarioName是teamserver用于攻击方案的名称。
$ip/dns:port是filebeat日志发送的IP或DNS名称和端口的信息，这将是redelk服务器的IP/dns。即使使用默认端口（TCP/5044），也需要将其作为参数提供。

/etc/redelk/alarm.json.conf：警报运行所需的详细信息。这包括用于在线服务的API密钥（Virus Total，IBM X-Force等）以及通过电子邮件发送警报所需的SMTP详细信息。如果不在此文件中输入您的详细信息，将导致REDELK无法使用其报警功能。

建议性配置：

/etc/redelk/iplist_redteam.conf：红队的公共IP地址，每行一个。便于识别红队成员进行的测试。在此处包含地址的设置是将redirhaproxy- *索引中的适用记录设置一个标记。
/etc/redelk/iplist_customer.conf：目标的公共IP地址，每行一个。在此处包含地址的设置是将为redirhaproxy- *索引中的适用记录设置一个标记。
/etc/redelk/iplist_unknown.conf：您尚不确定的网关的公共IP地址，但不希望再次收到警告。每行一个。在此处包含地址的设置将为redirhaproxy- *索引中的适用记录设置一个标记
/etc/redelk/rogue_useragents.conf：用户代理在访问C2后端时出现已知错误。已经包含了一个基本的UAs列表，如curl，python-urllib和Blue Teamers喜欢使用的一些其他工具。该列表还包含即时消息工具的UAs列表，例如WhatsApp，Skype和Slack。当C2使用IM在分析员之间共享时非常有用。请随意将UAs添加到此列表中。
/etc/redelk/known_testsystems.conf：已知测试系统的beacon特征。您可能想要添加有关您自己的测试系统的信息。每行一个。此处包含数据的配置将在rtops- *索引中为适用记录设置一个标记。要将身份验证更改为nginx，请更改/etc/nginx/htpasswd.users以包含您的首选凭据。或者在初始设置之前对/redelk/elkserver/etc/nginx/htpasswd.users文件进行配置。

不建议编辑的其他配置文件：

/etc/redelk/abusbotnetc2ip.conf：由abuse.ch列出的已知c2 ip地址的自动更新列表
/etc/redelk/abussslcert.conf：由abuse.ch列出的c2 tls证书，c2已知的自动更新哈希列表。
/etc/redelk/roguedomains.conf ：来自多个来源的已知坏域的自动更新列表。
/etc/redelk/torexitnodes.conf ：已知TOR出口节点IP地址的自动更新列表。
/etc/redelk/known_sandboxes.conf：已知AV沙箱系统的beacon特征。每行一个。此处包含数据的配置将在rtops- *索引中为适用记录设置一个标记。随着越来越多的沙箱具有完全随机的名称，因此这不再具有真正的相关性。
/etc/redelk/redteamdomains.conf：攻击性基础设施使用的域列表。由于还没有进行报警编码来检查，因此不需要编辑此文件。

Elasticsearch中存储的数据
在线服务提供蓝队可能因OPSEC配置不当而放置的一些信息。

渗透测试中心

0x00 前言简介

0x01 体系架构概述

0x02 安装和配置

0x03日常用法

0x04 hood使用

0x05 参考地址

公告