Squadra Rossa Atomica¶
Traduzione: Copia tutti i comandi
Traduzione: Generare PDF
< >
Atomic Red Team è una libreria di test mappati al framework MITRE ATT&CK che i team di sicurezza possono utilizzare per testare rapidamente, portabilmente e riproducibilmente i loro ambienti.
## Installazione e configurazione
|Command|Description|
|---------|-------------|
|`git clone https://github.com/redcanaryco/atomic-red-team.git`|Clone Atomic Red Team repository|
|`cd atomic-red-team`|Navigate to repository|
|`Install-Module -Name invoke-atomicredteam,powershell-yaml -Scope CurrentUser`|Install PowerShell modules|
|`Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Force`|Import PowerShell module|
|`Invoke-AtomicTest T1003.001 -ShowDetails`|Show test details|
## Uso di base
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001`|Execute specific atomic test|
|`Invoke-AtomicTest T1003.001 -TestNumbers 1`|Execute specific test number|
|`Invoke-AtomicTest T1003.001 -ShowDetails`|Show test details without executing|
|`Invoke-AtomicTest T1003.001 -CheckPrereqs`|Check prerequisites|
|`Invoke-AtomicTest T1003.001 -GetPrereqs`|Install prerequisites|
|`Invoke-AtomicTest T1003.001 -Cleanup`|Run cleanup for test|
## Test Discovery
|Command|Description|
|---------|-------------|
|`Get-AtomicTechnique`|List all available techniques|
|`Get-AtomicTechnique -Path "C:\AtomicRedTeam\atomics"`|List techniques from specific path|
|`Get-AtomicTechnique \| Where-Object {$_.DisplayName -match "credential"}`|Search techniques by keyword|
|`Get-AtomicTechnique T1003`|Get details for specific technique|
## MITRE ATT&CK Tecniche
### Accesso iniziale
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1566.001`|Spearphishing Attachment|
|`Invoke-AtomicTest T1566.002`|Spearphishing Link|
|`Invoke-AtomicTest T1190`|Exploit Public-Facing Application|
|`Invoke-AtomicTest T1133`|External Remote Services|
|`Invoke-AtomicTest T1200`|Hardware Additions|
### Esecuzione
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1059.001`|PowerShell execution|
|`Invoke-AtomicTest T1059.003`|Windows Command Shell|
|`Invoke-AtomicTest T1059.004`|Unix Shell|
|`Invoke-AtomicTest T1059.006`|Python execution|
|`Invoke-AtomicTest T1053.005`|Scheduled Task/Job|
### Persistenza
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1547.001`|Registry Run Keys|
|`Invoke-AtomicTest T1053.005`|Scheduled Task|
|`Invoke-AtomicTest T1543.003`|Windows Service|
|`Invoke-AtomicTest T1136.001`|Local Account creation|
|`Invoke-AtomicTest T1098`|Account Manipulation|
### Escalation Privilege
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1548.002`|Bypass User Account Control|
|`Invoke-AtomicTest T1055`|Process Injection|
|`Invoke-AtomicTest T1134`|Access Token Manipulation|
|`Invoke-AtomicTest T1068`|Exploitation for Privilege Escalation|
### Evasione della difesa
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1027`|Obfuscated Files or Information|
|`Invoke-AtomicTest T1070.004`|File Deletion|
|`Invoke-AtomicTest T1562.001`|Disable or Modify Tools|
|`Invoke-AtomicTest T1218.010`|Regsvr32|
|`Invoke-AtomicTest T1036`|Masquerading|
### Accesso Credenziale
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001`|LSASS Memory dump|
|`Invoke-AtomicTest T1003.002`|Security Account Manager|
|`Invoke-AtomicTest T1003.003`|NTDS.dit|
|`Invoke-AtomicTest T1110.001`|Password Spraying|
|`Invoke-AtomicTest T1555.003`|Credentials from Web Browsers|
### Discovery
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1087.001`|Local Account Discovery|
|`Invoke-AtomicTest T1087.002`|Domain Account Discovery|
|`Invoke-AtomicTest T1018`|Remote System Discovery|
|`Invoke-AtomicTest T1083`|File and Directory Discovery|
|`Invoke-AtomicTest T1057`|Process Discovery|
### Movimento laterale
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1021.001`|Remote Desktop Protocol|
|`Invoke-AtomicTest T1021.002`|SMB/Windows Admin Shares|
|`Invoke-AtomicTest T1021.003`|Distributed Component Object Model|
|`Invoke-AtomicTest T1021.006`|Windows Remote Management|
|`Invoke-AtomicTest T1550.002`|Pass the Hash|
### Collezione
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1005`|Data from Local System|
|`Invoke-AtomicTest T1039`|Data from Network Shared Drive|
|`Invoke-AtomicTest T1113`|Screen Capture|
|`Invoke-AtomicTest T1123`|Audio Capture|
|`Invoke-AtomicTest T1115`|Clipboard Data|
### Comando e Controllo
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1071.001`|Web Protocols|
|`Invoke-AtomicTest T1071.004`|DNS|
|`Invoke-AtomicTest T1090.003`|Multi-hop Proxy|
|`Invoke-AtomicTest T1573.002`|Asymmetric Cryptography|
### Esfiltrazione
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1041`|Exfiltration Over C2 Channel|
|`Invoke-AtomicTest T1048.003`|Exfiltration Over Unencrypted/Obfuscated Non-C2 Protocol|
|`Invoke-AtomicTest T1567.002`|Exfiltration to Cloud Storage|
### Impatto
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1485`|Data Destruction|
|`Invoke-AtomicTest T1486`|Data Encrypted for Impact|
|`Invoke-AtomicTest T1490`|Inhibit System Recovery|
|`Invoke-AtomicTest T1498`|Network Denial of Service|
## Uso avanzato
### Parametri personalizzati
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001 -InputArgs @{"output_file"="C:\temp\lsass.dmp"}`|Pass custom parameters|
|`Invoke-AtomicTest T1087.001 -InputArgs @{"username"="testuser"}`|Specify username parameter|
### Esecuzione batch
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001,T1003.002,T1003.003`|Execute multiple tests|
|`Get-AtomicTechnique \| ForEach-Object {Invoke-AtomicTest $_.Technique}`|Execute all available tests|
### Registrazione e uscita
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001 -LoggingModule "Attire-ExecutionLogger"`|Enable logging|
|`Invoke-AtomicTest T1003.001 -ExecutionLogPath "C:\logs\atomic.log"`|Specify log path|
|`Invoke-AtomicTest T1003.001 -TimeoutSeconds 60`|Set execution timeout|
## Configurazione
### File di configurazione (config.yaml)
Traduzione:
### Variabili dell'ambiente
|Variable|Description|
|---------|-------------|
|`$env:ATOMIC_RED_TEAM_PATH`|Path to Atomic Red Team directory|
|`$env:ATOMIC_LOG_PATH`|Path for execution logs|
|`$env:ATOMIC_TIMEOUT`|Default timeout for tests|
## Uso di Linux/macOS
### Installazione
|Command|Description|
|---------|-------------|
|`git clone https://github.com/redcanaryco/atomic-red-team.git`|Clone repository|
|`cd atomic-red-team`|Navigate to directory|
|`chmod +x atomics/*/src/*`|Make scripts executable|
### Esecuzione
|Command|Description|
|---------|-------------|
|`bash atomics/T1059.004/src/T1059.004.sh`|Execute bash-based test|
|`python3 atomics/T1059.006/src/T1059.006.py`|Execute Python-based test|
|`./atomics/T1083/src/T1083-1.sh`|Execute specific test variant|
## Integrazione con SIEM
### Integrazione Splunk
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001 -LoggingModule "Splunk"`|Log to Splunk|
|`index=atomic_red_team technique=T1003.001`|Search Splunk for test results|
### ELK Integrazione dello Stack
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest T1003.001 -LoggingModule "Elasticsearch"`|Log to Elasticsearch|
## Sviluppo di test personalizzato
### Struttura di prova
Traduzione:
### Esecuzione test personalizzata
|Command|Description|
|---------|-------------|
|`Invoke-AtomicTest -AtomicsFolder "C:\CustomAtomics" T9999.001`|Execute custom test|
## Rapporti e analisi
|Command|Description|
|---------|-------------|
|`Get-AtomicTestResults`|Get execution results|
|`Export-AtomicTestResults -Format CSV -Path "results.csv"`|Export results to CSV|
|`Get-AtomicCoverage`|Show MITRE ATT&CK coverage|
|`Show-AtomicTestMatrix`|Display test matrix|
## Automazione e Scheduling
### PowerShell programmato Lavoro
Traduzione:
### Test continuo
|Command|Description|
|---------|-------------|
|`Start-AtomicContinuousTesting -Techniques @("T1003.001","T1087.001") -Interval 3600`|Run tests every hour|
## Considerazioni di sicurezza
- Eseguire test solo in ambienti isolati
- Assicurare una corretta pulizia dopo l'esecuzione del test
- Monitorare i falsi positivi negli strumenti di sicurezza
- Documentare tutte le esecuzioni di prova per la conformità
- Utilizzare i principi meno privilegi
- Implementare controlli di accesso adeguati
- Backup regolare prima del test
- Coordinare con il centro operazioni di sicurezza
## Migliori Pratiche
- Inizia con tecniche a basso impatto
- Eseguire sempre controlli prerequisiti prima
- Utilizzare le funzioni di pulizia dopo i test
- Risultati e osservazioni dei documenti
- Coordinare le attività del team blu
- Test in ambienti non produttivi prima
- Implementazione corretta registrazione e monitoraggio
- Aggiornamenti regolari alla libreria di test
- Convalida funzionalità di rilevamento
- Crea test personalizzati per ambienti specifici
## Risoluzione dei problemi
|Command|Description|
|---------|-------------|
|`Get-Help Invoke-AtomicTest -Full`|Get detailed help|
|`Test-AtomicTestInputArgs T1003.001`|Validate input arguments|
|`Get-AtomicTestPrerequisites T1003.001`|Check prerequisites|
|`Repair-AtomicTest T1003.001`|Attempt to fix test issues|
## Questioni comuni
- Interferenze antivirus con esecuzione test
- Prerequisiti mancanti o dipendenze
- privilegi insufficienti per l'esecuzione dei test
- Problemi di connettività di rete per le risorse esterne
- Problemi legati al percorso su diversi sistemi operativi