Перейти к содержанию

Umbryx EE

Umbryx EE (Enterprise Edition) — это Umbryx Core плюс инфраструктурная половина жизненного цикла: развёртывание, интеграция и демонтаж атакующей инфраструктуры — стеки C2, redirector, dropper, пивоты, DNS и TLS — из каталога, с подписанной лицензией.

EE — та же кодовая база с одним дополнительным пакетом: backend/app/ee (фронт добавляет src/ee/). Схема базы данных не меняется, поэтому Core → EE — это смена образа, а нелицензированный EE деградирует до функционального набора Core, а не ломается.

Что добавляет EE

Platform Ops (жизненный цикл инфраструктуры)

  • Catalog & Builder — встроенные шаблоны для Adaptix, Sliver, Mythic (одиночный и полный мульти-контейнерный), Covenant, nginx-redirector, dropper pwndrop, пивоты Ligolo; блюпринты вроде «C2 + Redirector + Dropper» и «C2 Cluster»
  • Deployments — идемпотентные развёртывания стеков с пошаговым трекингом, автоматическим откатом (k8s rollout undo, destroy как запасной вариант), конвейер после развёртывания: discovery сервисов → верификация линков → генерация учётных данных → авто-регистрация C2 → передача listener → VPN → DNS
  • Providers — учётные данные для облачных и виртуализационных провайдеров: зарегистрированные адаптеры: ssh_host, hetzner, proxmox, aws, docker, k8s, cloudflare_dns, route53_dns; API-управляемое создание VPS для Hetzner/DigitalOcean/Vultr
  • Методы развёртывания — ssh (Docker поверх SSH), docker (Engine API), k8s (kubectl), terraform (IaC), ssh_bare (nginx напрямую на хосте)
  • DNS & SSL — управление зонами/записями с синхронизацией и проверками пропагации, сертификаты через встроенный ANetExec-клиент (Let's Encrypt, DNS-01)
  • Links — http_proxy (nginx reverse proxy на redirector), a_record, proxy_chain, net_tunnel (WireGuard/chisel)

Provisioning workstation

  • Создание машин workstation из шаблонов (Hetzner, Proxmox через Terraform, Docker, Kubernetes, вручную/SSH) с поллингом готовности и демонтажем
  • Облачные workstation на проект, включая встроенный образ executor-box с предустановленным offensive-тулчейном
  • Executor bridge: любую машину пула можно переключить в режим цели скана/исполнения для платформы

Управляемые экземпляры (managed instances)

Пул только на Kubernetes из сервисов шаблонов с claim/release в проекты, учётные данные экземпляров per-user (шифрованные at rest) и жизненный цикл status/reconfig.

Рецепт HA-развёртывания

docker-compose.ha.yml (управляемые режимы установщика — в планах): pg_auto_failover, HAProxy + keepalived VIP, Redis Sentinel. Приложение читает одни и те же переменные в обоих изданиях; упакованный рецепт поставляется с EE.

Лицензирование

  • Для Core лицензионный ключ не требуется. EE требует подписанный Ed25519 license-токен, привязанный к установке.
  • Активация (онлайн): экземпляр связывается с license-сервером раз в 24 ч (LICENSE_SERVER_URL, по умолчанию https://update.umbryx.pro); обновлённый токен применяется автоматически.
  • Активация (air-gapped): System → License → скачайте запрос активации (C2V), получите подписанный .lic у вендора, загрузите его, переключите канал в offline.
  • Жизненный цикл: active → grace (истёк, по умолчанию 14 дней) → wind_down. В wind-down мутации блокируются с 402, но просмотр, экспорт и демонтаж продолжают работать; данные никогда не удаляются, а развёрнутая инфраструктура никогда не останавливается самой платформой.

Тиры и лимиты (участники, инфраструктурные экземпляры, workstation, хранение аудита, классы провайдеров, возможности вроде SSO) переносятся подписанным токеном — см. GET /api/system/license/state.

Известные ограничения

  • Машины AWS/Azure/GCP потребляются как заранее подготовленные SSH-хосты; API-управляемое создание VPS — только Hetzner/DigitalOcean/Vultr
  • Cobalt Strike — на данном этапе не поддерживается (в планах; см. C2-интеграции)
  • Proxmox доступен для workstation пула (Terraform), но не для облачных workstation на проект