cccs/assemblyline-service-cape

CAPE服务

此Assemblyline服务将文件提交至CAPEv2部署，并解析返回的报告。

服务详情

注意：此服务在正常运行前需要在Assemblyline之外进行大量额外安装。默认安装过程中不会预安装此服务。

本仓库包含的代码主要改编自https://github.com/CybercentreCanada/assemblyline-service-cuckoo%EF%BC%8C%E5%B9%B6%E5%8F%97%E5%88%B0https://github.com/x1mus%E5%9C%A8https://github.com/NVISOsecurity%E7%9A%84https://github.com/Sorakurai%E3%80%81https://github.com/jvanwilder%E5%92%8Chttps://github.com/RenaudFrere%E6%94%AF%E6%8C%81%E4%B8%8B%E5%88%9B%E5%BB%BA%E7%9A%84https://github.com/NVISOsecurity/assemblyline-service-cape%E5%90%AF%E5%8F%91%E3%80%82

CAPE沙箱概述

https://github.com/kevoreilly/CAPEv2%E6%98%AF%E5%BC%80%E6%BA%90%E9%A1%B9%E7%9B%AECuckoo%E6%B2%99%E7%AE%B1%E7%9A%84%E5%88%86%E6%94%AF%E3%80%82CAPE%E7%9A%84%E7%9B%AE%E6%A0%87%E6%98%AF%E6%B7%BB%E5%8A%A0%E8%87%AA%E5%8A%A8%E5%8C%96***%E8%A7%A3%E5%8C%85%E5%92%8C%E9%85%8D%E7%BD%AE%E6%8F%90%E5%8F%96%E5%8A%9F%E8%83%BD%EF%BC%8C%E5%AE%83%E4%B9%9F%E6%98%AF%E5%9F%BA%E4%BA%8ECuckoo%E4%B8%94%E4%BB%8D%E5%9C%A8%E7%BB%B4%E6%8A%A4%E5%92%8C%E6%94%AF%E6%8C%81%E7%9A%84%E6%9C%80%E5%90%8E%E4%B8%80%E4%B8%AA%E4%BB%93%E5%BA%93%E3%80%82

Assemblyline的CAPE服务概述

CAPE服务使用CAPE REST API将文件发送至CAPE nest，然后由CAPE nest将这些任务分配给一组受害机器（一台机器处理一个文件）。

您负责设置CAPE nest和受害机器。随后会检索受害机器中提交文件的引爆分析结果，并通过Assemblyline UI向用户显示报告的摘要版本。完整报告也会作为补充文件包含在Assemblyline UI中，供您查阅。解包后保存到磁盘的文件会反馈回Assemblyline。

注意事项

报告

需要注意的是，此服务获取报告包的lite格式。因此，请确保在CAPE实例的reporting.conf文件中启用litereport，配置如下：

[litereport]
enabled = yes
keys_to_copy = info debug signatures network curtain sysmon target
behavior_keys_to_copy = processtree processes summary

REST API

此服务使用的部分API功能在公共CAPE实例上是禁用的，因此该服务仅适用于CAPE的私有部署。

由于REST APIv2是唯一受支持的API版本，我们也仅支持此版本。

由于CAPE服务每分钟将发出超过5个请求，因此CAPE主机上的REST API需要以下api.conf配置：

[api]
ratelimit = no
default_user_ratelimit = 99999999999999/s
default_subscription_ratelimit = 99999999999999/s
token_auth_enabled = yes

CAPE服务进行的REST API调用如下：

1. 通过GET /apiv2/cuckoo/status/获取CAPE状态
2. 通过GET /apiv2/machines/list/获取机器列表
3. 通过GET /apiv2/tasks/search/sha256/<sha256>/搜索样本的SHA256
4. 通过POST /apiv2/tasks/create/file/提交样本进行文件分析
5. 通过GET /apiv2/tasks/view/<task-id>/轮询任务ID，直到任务完成
6. 通过GET /apiv2/tasks/get/report/<task-id>/lite/zip/获取lite JSON报告和生成的ZIP文件
7. 通过GET /apiv2/tasks/delete/<task-id>/删除任务

在默认的api.conf中，[machinelist]、[cuckoostatus]和[taskdelete]均处于禁用状态，您需要启用它们。

在api.conf中，建议对所有REST API服务设置token_auth_enabled = yes和auth_only = yes。

监控建议

CAPE服务将提交文件并等待文件完成分析和分析后处理，直至服务超时（800秒）。此时，服务将重试（最多再试2次）以获取结果。在大多数情况下，服务重试的唯一原因是CAPE nest出现问题。CAPE服务会输出有用的错误日志，您可以针对CAPE REST API或处理器服务宕机或出错的情况设置Kibana告警，这是监控CAPE nest的推荐方法。

有关如何配置此服务的更多信息，请点击此处。

镜像变体和标签

Assemblyline服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E8%AF%A5%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8EDebian 11并带有Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是一个Assemblyline服务，设计用于作为Assemblyline框架的一部分运行。

如果您想在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name CAPE \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-cape

要将此服务添加到您的Assemblyline部署中，请遵循此https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment%E3%80%82

文档

Assemblyline通用文档可在以下地址找到：https://cybercentrecanada.github.io/assemblyline4_docs/