Карта, Attack Graph и Attack Path¶
В Umbryx три визуальные поверхности об одном engagement, и главный навык работы с продуктом — не путать их. Каждая отвечает на свой вопрос, у каждой свой владелец и своя свежесть.
| Сетевая карта | Attack Graph | Attack Path | |
|---|---|---|---|
| Вопрос | Как устроена среда? | Где мы и насколько глубоко? | Как расскажем историю? |
| Природа | Документация топологии | Живая карта компрометации | Нарратив для отчёта |
| Кто пишет | Вы (или Smart Build) | Никто — строится сам | Вы |
| Источник фактов | Хосты, сканы, ручные правки | Креды, проверки доступа, пивоты | План оператора |
| Свежесть | По запросу (Smart Build, правки) | Live (WebSocket) | Когда редактируете |
| Попадает в отчёт | Как диаграмма | Как доказательство (PNG) | Как история атаки |
Сетевая карта — среда¶
Курируемая картинка инфраструктуры: несколько именованных карт на проект, регионы, вручную расставленные узлы, оверлеи (угрозы, сессии, доступ, пивоты, роли). Smart Build выводит топологию из хостов и данных сканов, вы правите результат. Карта — это документация: она должна выглядеть так, как вам нужно объяснять среду.
Записывайте здесь: туннели (Add Pivot), зоны, всё, что клиент должен увидеть как «свою сеть».
Attack Graph — компрометация¶
Самостроющаяся карта того, чего операция реально добилась. Никто её не редактирует: каждая нода и ребро выведены из операционных фактов:
- учётные данные в наличии становятся нодами-учётными данными — ключами engagement
- валидированный доступ рисует подтверждённые рёбра; предполагаемый остаётся пунктиром до подтверждения
- наблюдения пивотов рисуют маршруты до сегментов за туннелем
Колонки — глубина от атакующего: сколько хопов между вашим боксом и каждым хостом. Клик по ноде показывает как мы сюда попали (цепочка атакующий → учётные данные → хост) и что это открывает. DA-пути подсвечивают кратчайшие цепочки до хостов с правами домен-админа.
Переключатель Frontier приглушает всё подтверждённое и кольцом выделяет непроверенное — невалидированные учётные данные и предполагаемый доступ — с панелью конкретных следующих шагов. Факты доступа старше 14 дней затухают (пивот мог уже умереть). Граф обновляется live по WebSocket, кнопка PNG выгружает снапшот для отчёта.
Attack Path — история¶
Сознательное дерево шагов (действие / условие / веха / пивот) со статусами, уверенностью и MITRE-техниками. Его пишет оператор, часто до того как шаги стали реальностью, и оно становится нарративом итогового отчёта. Путь может начаться гипотезой, выполниться и закрыться verified — или упасть и объяснить почему.
Как они работают вместе¶
- Attack Graph ссылается на остальные: панель хоста прыгает на сетевую карту с фокусом на нём; DA-путь можно передать в Attack Path как скелет истории
- Сетевая карта документирует, где живут пивоты; граф превращает те же пивоты в достижимость
- Attack Path рассказывает; граф доказывает нарратив фактами (и опровергает, когда ребро оказывается предполагаемым)
Правило большого пальца¶
Спрашиваете «что там есть?» — открывайте Карту. Спрашиваете «где мы?» — открывайте Граф. Спрашиваете «что писать в отчёт?» — открывайте Путь. Когда клиент спрашивает, на каком основании вы заявляете доступ к хосту X, ответ — цепочка на Attack Graph, а не линия, которую кто-то провёл на карте.