Faraday: Un framework para hacer pentesting colaborativo

Hace ya varias ediciones que en la Ekoparty, Federico Kirschbaum, el CTO de Infobyte dio una charla en la que dejaba entrever en lo que quería que se convirtiera la herramienta Faraday, que mucho tiempo después acabaron publicando para que la gente la utilizase. Faraday es una framework que funciona como una caja que contempla todas las acciones que se hacen con las herramientas habituales de pentesting para ir recogiendo los resultados en cada uno de los formatos de salida que tienen las utilidades y unificar la información que se ha obtenido en un repositorio común.

  Figura 1: Faraday: A tool to share knowledge - ekoparty Security Conference 6th edition
La idea es que al arrancar el framework de Faraday se cuenta con una shell que permite ejecutar cualquiera de las tools reconocidas. En el ejemplo que se puede ver en las capturas puedes hacer pentesting con Kali dentro de Faraday, que se encargará de ir recogiendo los datos de salida y generando un proyecto completo.

Figura 2: Framework de Fadaray monitorizando la salida de las herramientas en Kali

Para conseguir interpretar cada uno de los resultados es necesario contar con plugins que interpreten los datos y los vuelquen en la base de conocimiento de Faraday. Si tienes una herramienta y quieres que se incluya puedes generarte tú mismo los plugins.

Figura 3: Plugins de Faraday disponibles a diá de hoy

Además, estas navidades han generado un programa de recompensas para los proyectos Open Source que se integran en su entorno, de tal manera que cada vez que una licencia empresarial es comprada, al cliente se le dará una lista con los proyectos que están dentro de este programa de recompensas para que elija a quién se le debe dar por cada licencia vendida.

La ventaja es que este entorno es multiusuario, por lo que la información que se genera desde la máquina de una de los auditores con Faraday estará disponible para el resto de los usuarios, que podrán estar realizando otras acciones en paralelo. Toda esta información, en la versión profesional o empresarial, puede ser exportada en informes que ayuden a gestionar completamente un proyecto de auditoría.

Figura 4: Informes y resultados en un entorno multi-pentester

Si sois un grupo de pentesters los que habitualmente os encargáis de hacer los proyectos, deberíais dedicar un poco de tiempo a hacer un test con la versión Community que es totalmente gratuita y ver si se adecua a vuestras necesidades y si has desarrollado una utilidad que te gustaría que se integrase con Faraday también.

Saludos Malignos!