تخطَّ إلى المحتوى
1337skills 1337skills - أوراق الغش

فريق الأحمر الذري

فريق الأحمر الذري هي مكتبة اختبارات مرتبطة بإطار MITRE ATT&CK يمكن لفرق الأمن استخدامها بسرعة وبشكل قابل للنقل وقابل للتكرار لاختبار بيئاتهم.

التثبيت والإعداد

أمروصف
git clone https://github.com/redcanaryco/atomic-red-team.gitاستنساخ مستودع Atomic Red Team
cd atomic-red-teamانتقل إلى المستودع
Install-Module -Name invoke-atomicredteam,powershell-yaml -Scope CurrentUserقم بتثبيت وحدات PowerShell
Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Forceاستيراد وحدة PowerShell
Invoke-AtomicTest T1003.001 -ShowDetailsعرض تفاصيل الاختبار

الاستخدام الأساسي

أمروصف
Invoke-AtomicTest T1003.001نفّذ اختبار ذري محدد
Invoke-AtomicTest T1003.001 -TestNumbers 1نفّذ رقم الاختبار المحدد
Invoke-AtomicTest T1003.001 -ShowDetailsعرض تفاصيل الاختبار دون تنفيذه
Invoke-AtomicTest T1003.001 -CheckPrereqsتحقق من المتطلبات المسبقة
Invoke-AtomicTest T1003.001 -GetPrereqsقم بتثبيت المتطلبات الأساسية
Invoke-AtomicTest T1003.001 -Cleanupقم بإجراء التنظيف للاختبار

اكتشاف الاختبارات

أمروصف
Get-AtomicTechniqueقائمة بجميع التقنيات المتاحة
Get-AtomicTechnique -Path "C:\AtomicRedTeam\atomics"قائمة تقنيات من المسار المحدد
`Get-AtomicTechnique \Where-Object {$_.DisplayName -match “credential”}`
Get-AtomicTechnique T1003احصل على تفاصيل تقنية محددة

تقنيات MITRE ATT&CK

الوصول الأولي

أمروصف
Invoke-AtomicTest T1566.001مرفق التصيد الاستهدافي
Invoke-AtomicTest T1566.002رابط التصيد الاستهدافي
Invoke-AtomicTest T1190استغلال التطبيق المواجه للعامة
Invoke-AtomicTest T1133الخدمات البعيدة الخارجية
Invoke-AtomicTest T1200الإضافات المادية

التنفيذ

أمروصف
Invoke-AtomicTest T1059.001تنفيذ PowerShell
Invoke-AtomicTest T1059.003Windows Command Shell
Invoke-AtomicTest T1059.004Unix Shell
Invoke-AtomicTest T1059.006تنفيذ Python
Invoke-AtomicTest T1053.005مهمة/وظيفة مجدولة

الاستمرارية

أمروصف
Invoke-AtomicTest T1547.001مفاتيح التشغيل في السجل
Invoke-AtomicTest T1053.005مهمة مجدولة
Invoke-AtomicTest T1543.003خدمة Windows
Invoke-AtomicTest T1136.001إنشاء حساب محلي
Invoke-AtomicTest T1098التلاعب بالحساب

ترقية الامتيازات

أمروصف
Invoke-AtomicTest T1548.002تجاوز التحكم في حساب المستخدم
Invoke-AtomicTest T1055حقن العملية
Invoke-AtomicTest T1134التلاعب بـ Access Token
Invoke-AtomicTest T1068استغلال للترقية الصلاحيات

التحايل على الدفاع

أمروصف
Invoke-AtomicTest T1027الملفات أو المعلومات المموهة
Invoke-AtomicTest T1070.004حذف الملف
Invoke-AtomicTest T1562.001تعطيل أو تعديل الأدوات
Invoke-AtomicTest T1218.010رجسفر32
Invoke-AtomicTest T1036التنكر

الوصول إلى الاعتمادات

أمروصف
Invoke-AtomicTest T1003.001تفريغ ذاكرة LSASS
Invoke-AtomicTest T1003.002مدير حساب الأمن
Invoke-AtomicTest T1003.003NTDS.dit
Invoke-AtomicTest T1110.001رش كلمات المرور
Invoke-AtomicTest T1555.003بيانات الاعتماد من متصفحات الويب

الاستكشاف

أمروصف
Invoke-AtomicTest T1087.001اكتشاف الحساب المحلي
Invoke-AtomicTest T1087.002اكتشاف حساب النطاق
Invoke-AtomicTest T1018اكتشاف النظام عن بُعد
Invoke-AtomicTest T1083اكتشاف الملفات والدلائل
Invoke-AtomicTest T1057اكتشاف العملية

الحركة الجانبية

أمروصف
Invoke-AtomicTest T1021.001بروتوكول سطح المكتب البعيد (Remote Desktop Protocol)
Invoke-AtomicTest T1021.002مشاركات المسؤول لـ SMB/Windows
Invoke-AtomicTest T1021.003نموذج الكائن المكون الموزع (Distributed Component Object Model)
Invoke-AtomicTest T1021.006إدارة التحكم عن بعد لـ Windows
Invoke-AtomicTest T1550.002تمرير التجزئة (Pass the Hash)

التجميع

أمروصف
Invoke-AtomicTest T1005بيانات من النظام المحلي
Invoke-AtomicTest T1039بيانات من محرك أقراص الشبكة المشترك
Invoke-AtomicTest T1113لقطة الشاشة
Invoke-AtomicTest T1123التقاط الصوت
Invoke-AtomicTest T1115بيانات الحافظة

التحكم والأوامر

أمروصف
Invoke-AtomicTest T1071.001بروتوكولات الويب
Invoke-AtomicTest T1071.004نظام أسماء النطاقات (DNS)
Invoke-AtomicTest T1090.003وكيل متعدد القفزات
Invoke-AtomicTest T1573.002التشفير غير المتماثل

الإخراج

أمروصف
Invoke-AtomicTest T1041التسلل عبر قناة التحكم والسيطرة (C2)
Invoke-AtomicTest T1048.003التسلل عبر بروتوكول غير مشفر/مموه غير C2
Invoke-AtomicTest T1567.002التسريب إلى التخزين السحابي

التأثير

أمروصف
Invoke-AtomicTest T1485تدمير البيانات
Invoke-AtomicTest T1486بيانات مشفرة للتأثير
Invoke-AtomicTest T1490منع استعادة النظام
Invoke-AtomicTest T1498حرمان الشبكة من الخدمة

الاستخدام المتقدم

المعاملات المخصصة

أمروصف
Invoke-AtomicTest T1003.001 -InputArgs @{"output_file"="C:\temp\lsass.dmp"}تمرير معاملات مخصصة
Invoke-AtomicTest T1087.001 -InputArgs @{"username"="testuser"}حدد معلمة اسم المستخدم

التنفيذ الدفعي

أمروصف
Invoke-AtomicTest T1003.001,T1003.002,T1003.003تنفيذ اختبارات متعددة
`Get-AtomicTechnique \ForEach-Object {Invoke-AtomicTest $_.Technique}`

التسجيل والإخراج

أمروصف
Invoke-AtomicTest T1003.001 -LoggingModule "Attire-ExecutionLogger"تمكين التسجيل
Invoke-AtomicTest T1003.001 -ExecutionLogPath "C:\logs\atomic.log"حدد مسار السجل
Invoke-AtomicTest T1003.001 -TimeoutSeconds 60تعيين مهلة التنفيذ

التكوين

ملف التكوين (config.yaml)```yaml

Atomic Red Team Configuration

atomics_folder: “C:\AtomicRedTeam\atomics” log_folder: “C:\AtomicRedTeam\logs” default_timeout: 120 check_prereqs: true get_prereqs: false cleanup: true


### Environment Variables
| متغير | وصف |
|---------|-------------|
| `$env:ATOMIC_RED_TEAM_PATH` | المسار إلى دليل Atomic Red Team |
| `$env:ATOMIC_LOG_PATH` | مسار سجلات التنفيذ |
| `$env:ATOMIC_TIMEOUT` | المهلة الافتراضية للاختبارات |
## Linux/macOS Usage

### Installation
| أمر | وصف |
|---------|-------------|
| `git clone https://github.com/redcanaryco/atomic-red-team.git` | استنساخ المستودع |
| `cd atomic-red-team` | انتقل إلى المجلد |
| `chmod +x atomics/*/src/*` | اجعل البرامج النصية قابلة للتنفيذ |
### Execution
| أمر | وصف |
|---------|-------------|
| `bash atomics/T1059.004/src/T1059.004.sh` | نفّذ اختبار bash |
| `python3 atomics/T1059.006/src/T1059.006.py` | قم بتنفيذ اختبار يعتمد على Python |
| `./atomics/T1083/src/T1083-1.sh` | نفّذ المتغير الاختباري المحدد |
## Integration with SIEM

### Splunk Integration
| أمر | وصف |
|---------|-------------|
| `Invoke-AtomicTest T1003.001 -LoggingModule "Splunk"` | سجل في Splunk |
| `index=atomic_red_team technique=T1003.001` | ابحث في Splunk عن نتائج الاختبار |
### ELK Stack Integration
| أمر | وصف |
|---------|-------------|
| `Invoke-AtomicTest T1003.001 -LoggingModule "Elasticsearch"` | سجل إلى Elasticsearch |
## Custom Test Development

### Test Structure
```yaml
attack_technique: T1003.001
display_name: "LSASS Memory"
atomic_tests:
- name: Dump LSASS.exe Memory using ProcDump
  auto_generated_guid: 0be2230c-9ab3-4ac2-8826-3199b9a0ebf8
  description: |
    The memory of lsass.exe is often dumped for offline credential theft attacks.
  supported_platforms:
  - windows
  input_arguments:
    output_file:
      description: Path where resulting dump should be placed
      type: Path
      default: C:\Windows\Temp\lsass_dump.dmp
  executor:
    command: |
      procdump.exe -accepteula -ma lsass.exe #{output_file}
    name: command_prompt

Custom Test Execution

أمروصف
Invoke-AtomicTest -AtomicsFolder "C:\CustomAtomics" T9999.001تنفيذ اختبار مخصص

Reporting and Analysis

أمروصف
Get-AtomicTestResultsاحصل على نتائج التنفيذ
Export-AtomicTestResults -Format CSV -Path "results.csv"تصدير النتائج إلى CSV
Get-AtomicCoverageاعرض تغطية MITRE ATT&CK
Show-AtomicTestMatrixعرض مصفوفة الاختبار

Automation and Scheduling

PowerShell Scheduled Jobs

$trigger = New-JobTrigger -Daily -At "2:00 AM"
Register-ScheduledJob -Name "AtomicRedTeam" -Trigger $trigger -ScriptBlock {
    Import-Module Invoke-AtomicRedTeam
    Invoke-AtomicTest T1003.001 -Cleanup
}

Continuous Testing

أمروصف
Start-AtomicContinuousTesting -Techniques @("T1003.001","T1087.001") -Interval 3600قم بتشغيل الاختبارات كل ساعة

Security Considerations

  • Run tests in isolated environments only
  • Ensure proper cleanup after test execution
  • Monitor for false positives in security tools
  • Document all test executions for compliance
  • Use least privilege principles
  • Implement proper access controls
  • Regular backup before testing
  • Coordinate with security operations center

Best Practices

  • Start with low-impact techniques
  • Always run prerequisite checks first
  • Use cleanup functions after testing
  • Document test results and observations
  • Coordinate with blue team activities
  • Test in non-production environments first
  • Implement proper logging and monitoring
  • Regular updates to test library
  • Validate detection capabilities
  • Create custom tests for specific environments

Troubleshooting

أمروصف
Get-Help Invoke-AtomicTest -Fullاحصل على مساعدة مفصّلة
Test-AtomicTestInputArgs T1003.001تحقق من معاييّر الإدخال
Get-AtomicTestPrerequisites T1003.001تحقق من المتطلبات المسبقة
Repair-AtomicTest T1003.001محاولة إصلاح مشاكل الاختبار

Common Issues

  • Antivirus interference with test execution
  • Missing prerequisites or dependencies
  • Insufficient privileges for test execution
  • Network connectivity issues for external resources
  • Path-related issues on different operating systems