ATOMIC RED TEAM adalah sebuah library open source untuk melakukan uji keamanan yang dipetakan berdasarkan framework MITRE ATT&CK.

MITRE ATT&CK adalah sebuah framework yang digunakan untuk menggambarkan tentang TTP (taktik, teknik, prosedur) yang biasa digunakan oleh seorang attacker.

Jadi fungsi dari ART adalah untuk menguji sistem keamanan yang dikonfigurasi oleh blue team cukup efektif untuk dalam mendeteksi sebuah ancaman dan mengurangi resiko false negative.

Cara menggunakan library atomic red team kita bisa menjalankan secara manual perintah (copy & paste) ke executor (powershell/cmd/terminal) atau menggunakan execution framework untuk mengotomatisasi perintah.

Ada beberapa tool execution framework, contohnya sebagai berikut:

1. Invoke Atomic Red Team

2. Prelude Operator

3. Caledra

4. Atomic Operator

Installation

Tool execution yang akan saya gunakan adalah invoke atomic red team (di windows 10), jalankan perintah dibawah ini untuk mulai instalasi.

# Command To Install Invoke Atomic Red Team
IEX (IWR 'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1' -UseBasicParsing);
Install-AtomicRedTeam -getAtomics

# Command To Import Module Invoke Atomic Red Team
Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Force
$PSDefaultParameterValues = @{"Invoke-AtomicTest:PathToAtomicsFolder"="C:\AtomicRedTeam\atomics"}
echo 'Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Force' > $profile

Demo

Windwos 10 sudah saya konfigurasi wazuh agent dan sysmon. Di wazuh juga ada file ‘/var/ossec/etc/rules/local_rules.xml` yang berisi rule untuk mendeteksi secara spesifik aktivitas mencurigakan di sistem windows yang terkait dengan mitre att&ck framework.

<group name="windows,sysmon,">

<rule id="115001" level="10">
  <if_group>windows</if_group>
  <field name="win.eventdata.ruleName" type="pcre2" >technique_id=T1053,technique_name=Scheduled Task</field>
  <description>A Newly Scheduled Task has been Detected on $(win.system.computer)</description>
  <mitre>
    <id>T1053</id>
  </mitre>
</rule>

<rule id="115004" level="10">
  <if_group>windows</if_group>
  <field name="win.eventdata.ruleName" type="pcre2" >technique_id=T1518.001,technique_name=Security Software Discovery</field>
  <description>Security Software Discovery Attempt has been Detected on $(win.system.computer)</description>
  <mitre>
    <id>T1518</id>
  </mitre>
</rule>

</group>

Teknik Security Software Discovery (T1518.001)

Teknik T1518.001 adalah salah satu teknik yang sering digunakan oleh penyerang untuk mendapatkan informasi tentang perangkat lunak keamanan di sistem yang mereka targetkan. Jalankan command dibawah ini di powershell windows 10 untuk mulai eksekusi.

Invoke-AtomicTest T1518.001

Ketika di cek di wazuh sudah terdapat alert di host windows dengan mitre id T1518.001.

Teknik Scheduled Task/Job (T1053.005)

Teknik T1053.005 adalah teknik yang digunakan untuk membuat task/job untuk mengeksekusi kode berbahaya pada waktu tertentu. Jalankan command dibawah ini di powershell windows 10 untuk mulai eksekusi.

Invoke-AtomicTest T1053.005

Ketika di cek di wazuh sudah terdapat alert di host windows dengan mitre id T1053.005.

Terimakasih sudah menyempatkan waktu untuk membaca catatan ini, mohon maaf jika ada penjelasan yang kurang tepat atau mis.

1. SMK Prestasi Alfatah, Kabupaten Mojokerto.

2. SMK Negeri 4 Malang, Kota Malang.

3. SMK NH Multimedia Poncokusumo, Kabupaten Malang.

At first it feels difficult to teach many students, but that's the real challenge, how do we manage time in delivering the material, how do we handle participants who are behind / difficult and how do we make participants not easily bored during the event.

Thank you to all the teachers at each school for the banquet.

I have an AMD Thinkpad T14 Gen 1 device, when I use ubuntu by default the graphics driver used is renoir. I want to install the default graphics driver from amd.

Downloading and Installing Linux Drivers for AMD Radeon Graphics

cd /tmp
wget https://repo.radeon.com/amdgpu-install/6.1.3/ubuntu/jammy/amdgpu-install_6.1.60103-1_all.deb
sudo dpkg -i amdgpu-install_6.1.60103-1_all.deb
sudo amdgpu-install

Can be seen in the Graphics section already using AMD Radeon Graphics.

Create an account and login to the Broadcom Support Portal, then download VMware Workstation Pro 17.5.2.

Dependency Installation

sudo apt update
sudo apt install -y build-essential dkms gcc-12 make perl linux-headers-$(uname -r)

VMware Workstation Pro Installation

sudo chmod +x VMware-Workstation-Full-17.5.2-23775571.x86_64.bundle
sudo ./VMware-Workstation-Full-17.5.2-23775571.x86_64.bundle

If an error occurs during installation, proceed to the next step which is the installation of vmware host modules.

VMware Host Modules Installation

cd /tmp
wget https://github.com/mkubecek/vmware-host-modules/archive/workstation-17.5.1.tar.gz
tar -xzf workstation-17.5.1.tar.gz
cd vmware-host-modules-workstation-17.5.1
make
sudo make install

Topologi

Instalasi

root@srv1:~# apt install openssh-server

Konfigurasi Dasar

Edit file /etc/ssh/sshd_config. Secara default ssh menggunakan port 22 kita akan rubah menggunakan port 2024 dan kita akan menizinkan user root untuk login via ssh.

#Port 22             #baris nomor 14
Hapus tanda pagar dan rubah seperti dibawah ini.
Port 2024


#PermitRootLogin prohibit-password        #baris nomor 33
Hapus tanda pagar dan rubah seperti dibawah ini.
PermitRootLogin yes

Setelah itu restart service sshd.

root@srv1:~# systemctl restart sshd

Uji Coba

Silahkan remote srv1 menggunakan client1 via ssh.

root@srv1:~# ssh root@10.0.0.10 -p 2024

Konfigurasi Static NAT/DMZ

Saya akan membuat static nat untuk host Server0 192.168.1.2 supaya bisa ping dan diakses port 80/443 dari outside network menggunakan address 103.111.248.254. Buat object network dan buat access list untuk mengizinkan packet tcp 80/443 dan icmp.

FW1(config)#object network dmz-outside
FW1(config-network-object)#host 192.168.1.2 
FW1(config-network-object)#nat (dmz,outside) static 103.111.248.254 

FW1(config)#access-list outside-dmz permit tcp any host 192.168.1.2 eq 80
FW1(config)#access-list outside-dmz permit tcp any host 192.168.1.2 eq 443
FW1(config)#access-list outside-dmz permit icmp any host 192.168.1.2 
FW1(config)#access-group outside-dmz in interface outside

Uji Coba

Lakukan ping atau akses web server dari Laptop0 ke address 103.111.248.254.

• FW1
  - Gig1/1 : 103.111.248.1/24
  - Gig1/2 : 192.168.1.1/24
  - Gig1/3 : 192.168.2.1/24

• Server0
  - Fa0 : 192.168.1.2/24

• PC0
  - Fa0 : 192.168.2.2/24

• R1
  - Fa0/0 : 103.111.248.2/24
  - Fa0/1 : 192.168.3.1/24

• Laptop0
  - Fa0 : 192.168.3.2/24

Basic Config FW1

FW1#show run
: Saved
:
ASA Version 9.6(1)
!
hostname FW1
names
!
interface GigabitEthernet1/1
 nameif outside
 security-level 0
 ip address 103.111.248.1 255.0.0.0
!
interface GigabitEthernet1/2
 nameif dmz
 security-level 50
 ip address 192.168.1.1 255.255.255.0
!
interface GigabitEthernet1/3
 nameif inside
 security-level 100
 ip address 192.168.2.1 255.255.255.0
!
interface GigabitEthernet1/4
 no nameif
 no security-level
 no ip address
 shutdown
!
interface GigabitEthernet1/5
 no nameif
 no security-level
 no ip address
 shutdown
!
interface GigabitEthernet1/6
 no nameif
 no security-level
 no ip address
 shutdown
!
interface GigabitEthernet1/7
 no nameif
 no security-level
 no ip address
 shutdown
!
interface GigabitEthernet1/8
 no nameif
 no security-level
 no ip address
 shutdown
!
interface Management1/1
 management-only
 no nameif
 no security-level
 no ip address
 shutdown
!
!
!
!
!
!
!
class-map inspection_default
 match default-inspection-traffic
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum 512
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map
  inspect ftp 
  inspect tftp 
!
service-policy global_policy global
!
telnet timeout 5
ssh timeout 5
!
!
!
!

Basic Config R1

R1#show run
Building configuration...

Current configuration : 626 bytes
!
version 15.1
no service timestamps log datetime msec
no service timestamps debug datetime msec
no service password-encryption
!
hostname R1
!
!
!
!
!
!
!
!
ip cef
no ipv6 cef
!
!
!
!
license udi pid CISCO2811/K9 sn FTX1017V8XO-
!
!
!
!
!
!
!
!
!
!
!
spanning-tree mode pvst
!
!
!
!
!
!
interface FastEthernet0/0
 ip address 103.111.248.2 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 192.168.3.1 255.255.255.0
 duplex auto
 speed auto
!
interface Vlan1
 no ip address
 shutdown
!
ip classless
!
ip flow-export version 9
!
!
!
!
!
!
!
line con 0
!
line aux 0
!
line vty 0 4
 login
!
!
!
end

Konfigurasi Dynamic NAT

Saya akan membuat dynamic nat untuk network 192.168.2.0/24 supaya bisa ping ke outside network. Tambahkan default route, buat object network dan lakukan inspection icmp packet.

FW1(config)#route outside 0.0.0.0 0.0.0.0 103.111.248.2 

FW1(config)#object network inside-outside
FW1(config-network-object)#subnet 192.168.2.0 255.255.255.0
FW1(config-network-object)#nat (inside,outside) dynamic interface

FW1(config)#policy-map global_policy
FW1(config-pmap)#class inspection_default
FW1(config-pmap-c)#inspect icmp

Uji Coba

Lakukan ping dari PC0 ke Laptop0 dan cek di FW1 dengan command show nat/xlate.

FW1(config)#show xlate
1 in use, 1 most used
Flags: D - DNS, e - extended, I - identity, i - dynamic, r - portmap, s - static, T - twice, N - net-to-net
ICMP PAT from inside:192.168.2.2/21 to outside:103.111.248.1/41910 flags i idle 00:00:03,  timeout 0:00:30

FW1(config)#show nat
Auto NAT Policies (Section 2)
1 (inside) to (outside) source dynamic inside-outside interface
    translate_hits = 2, untranslate_hits = 1