Artefacts¶

Les artefacts sont des enregistrements IOC structurés que Stentor crée automatiquement chaque fois qu'un beacon exécute une tâche. Chaque artefact capture ce qui s'est passé (création de processus, opération de fichier, modification du registre, connexion réseau), quelle technique MITRE ATT&CK a été utilisée et quelle beacon l'a produit. Les artefacts alimentent l'exportation du navigateur ATT&CK, les rapports IOC et la chronologie de l'engagement.

Comment les artefacts sont collectés¶

Le ArtifactRecorder s'exécute dans le pipeline des résultats de la tâche et produit des enregistrements d'artefacts à partir de deux sources :

1. Artéfacts signalés par l'implant (source: "implant") : l'implant signale explicitement les artefacts dans sa payload de résultat de tâche, notamment le type, le chemin, la valeur et l'ID de technique facultatif.
2. Artefacts auto-inférés (source: "auto") -- Lorsque l'implant ne signale pas d'artefacts explicites, l'enregistreur les déduit du type de tâche à l'aide de la table de mappage MITRE ATT&CK intégrée.

L'enregistrement des artefacts n'est pas bloquant : il s'exécute dans une routine goroutine en arrière-plan et insère des enregistrements par lots pour les performances. Les échecs sont enregistrés mais ne bloquent jamais le pipeline des résultats de la tâche.

sequenceDiagram
    participant Implant
    participant Relay
    participant Backend
    participant ArtifactRecorder
    participant Database

    Implant->>Relay: Task result (with optional artifacts)
    Relay->>Backend: Forward result via WebSocket
    Backend->>Backend: Process task result
    Backend->>ArtifactRecorder: RecordFromResult(beaconID, taskID, taskType, result)

    alt Implant reported artifacts
        ArtifactRecorder->>ArtifactRecorder: Use explicit artifacts (source="implant")
    else No explicit artifacts
        ArtifactRecorder->>ArtifactRecorder: Infer from task type (source="auto")
    end

    ArtifactRecorder->>Database: Batch INSERT c2_artifacts

Objet artefact¶

Types d'artefacts¶

Cartographie automatique MITRE¶

Lorsqu'aucun artefact explicite n'est signalé par l'implant, l'enregistreur mappe automatiquement les types de tâches aux techniques MITRE ATT&CK :

Interroger des artefacts¶

Tous les points de terminaison des artefacts se trouvent sous /api/v1/artifacts et prennent en charge la pagination via les paramètres de requête limit et offset.

Paramètres de pagination¶

Répertorier tous les artefacts¶

GET /api/v1/artifacts

curl -s "https://stentor.app/api/v1/artifacts?limit=50&offset=0" \
  -H "Authorization: Bearer $TOKEN" | jq

Réponse :

{
  "artifacts": [
    {
      "id": "artifact-uuid",
      "beacon_id": "beacon-uuid",
      "task_id": "task-uuid",
      "artifact_type": "process",
      "path": "cmd.exe",
      "value": "",
      "technique_id": "T1059.003",
      "tactic": "execution",
      "description": "Process created: cmd.exe (command shell)",
      "source": "auto",
      "created_at": "2026-02-21T14:30:00Z"
    }
  ],
  "total": 1247
}

Filtrer par beacon¶

GET /api/v1/artifacts/by-beacon/:beaconId

curl -s "https://stentor.app/api/v1/artifacts/by-beacon/$BEACON_ID?limit=100" \
  -H "Authorization: Bearer $TOKEN" | jq

Filtrer par tâche¶

GET /api/v1/artifacts/by-task/:taskId

Renvoie tous les artefacts pour une tâche spécifique (pas de pagination - renvoie l'ensemble complet).

curl -s "https://stentor.app/api/v1/artifacts/by-task/$TASK_ID" \
  -H "Authorization: Bearer $TOKEN" | jq

Filtrer par type¶

GET /api/v1/artifacts/by-type/:type

Types valides : process, file, registry, network, event_log, service.

curl -s "https://stentor.app/api/v1/artifacts/by-type/process?limit=50" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/by-type/network?limit=50" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/by-type/registry?limit=50" \
  -H "Authorization: Bearer $TOKEN" | jq

Filtrer par Technique MITRE¶

GET /api/v1/artifacts/by-technique/:techniqueId

curl -s "https://stentor.app/api/v1/artifacts/by-technique/T1059.001?limit=50" \
  -H "Authorization: Bearer $TOKEN" | jq

Filtrer par plage horaire¶

GET /api/v1/artifacts/by-time

curl -s "https://stentor.app/api/v1/artifacts/by-time?start=2026-02-20T00:00:00Z&end=2026-02-21T23:59:59Z&limit=100" \
  -H "Authorization: Bearer $TOKEN" | jq

Résumé technique¶

Données d'utilisation des techniques agrégées pour tous les artefacts, regroupées par ID de technique et tactique.

GET /api/v1/artifacts/summary

curl -s "https://stentor.app/api/v1/artifacts/summary" \
  -H "Authorization: Bearer $TOKEN" | jq

Réponse¶

{
  "techniques": [
    {
      "technique_id": "T1059.001",
      "tactic": "execution",
      "count": 47,
      "first_seen": "2026-02-19T08:12:00Z",
      "last_seen": "2026-02-21T16:45:00Z"
    },
    {
      "technique_id": "T1055.003",
      "tactic": "defense-evasion",
      "count": 12,
      "first_seen": "2026-02-19T10:30:00Z",
      "last_seen": "2026-02-21T14:00:00Z"
    }
  ]
}

Ce point de terminaison alimente l’export de la couche ATT&CK Navigator et la répartition technique dans le rapport IOC.

Exportation de la couche de navigateur ATT&CK¶

Exportez la couverture technique de votre engagement sous forme de fichier JSON de couche ATT&CK Navigator v4.5. Le calque utilise une interpolation de couleur (du blanc au rouge) en fonction de la fréquence d'utilisation.

Couche standard¶

GET /api/v1/artifacts/navigator-layer

curl -s "https://stentor.app/api/v1/artifacts/navigator-layer" \
  -H "Authorization: Bearer $TOKEN" \
  -o navigator-layer.json

curl -s "https://stentor.app/api/v1/artifacts/navigator-layer?name=ACME+Corp+Q1+2026" \
  -H "Authorization: Bearer $TOKEN" \
  -o navigator-layer.json

curl -s "https://stentor.app/api/v1/artifacts/navigator-layer?preview=true" \
  -H "Authorization: Bearer $TOKEN" | jq

Couche par opération¶

Un deuxième mode d'exportation colore les techniques par lesquelles l'hôte/le beacon les a utilisées, ce qui facilite la visualisation de la couverture opérationnelle tout au long de l'engagement. Chaque hôte reçoit une couleur distincte et une légende mappe les noms d'hôtes aux couleurs.

GET /api/v1/artifacts/navigator-layer/by-operation

curl -s "https://stentor.app/api/v1/artifacts/navigator-layer/by-operation" \
  -H "Authorization: Bearer $TOKEN" \
  -o navigator-layer-operation.json

Schémas de couleurs¶

Utilisation avec le navigateur ATT&CK¶

1. Téléchargez la couche JSON à partir de l'un ou l'autre point de terminaison
2. Ouvrez le Navigateur ATT&CK
3. Cliquez sur Ouvrir la couche existante et téléchargez le fichier JSON.
4. La carte thermique restitue la couverture technique de votre engagement

Voir Intégration MITRE ATT&CK pour la documentation complète de la base de connaissances.

Rapport du CIO¶

Générez un rapport structuré sur les indicateurs de compromission à partir de tous les artefacts enregistrés. Le rapport regroupe les artefacts par hôte et comprend une section sur la répartition des techniques, idéale pour le transfert du défenseur après un engagement.

GET /api/v1/artifacts/ioc-report

curl -s "https://stentor.app/api/v1/artifacts/ioc-report" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/ioc-report?format=pdf" \
  -H "Authorization: Bearer $TOKEN" \
  -o ioc-report.pdf

curl -s "https://stentor.app/api/v1/artifacts/ioc-report?format=html" \
  -H "Authorization: Bearer $TOKEN" \
  -o ioc-report.html

Structure du rapport du CIO¶

{
  "generated_at": "2026-02-21T15:00:00Z",
  "total_artifacts": 523,
  "hosts": [
    {
      "hostname": "DC01",
      "ip": "10.10.10.10",
      "artifacts": [
        {
          "type": "process",
          "path": "powershell.exe",
          "value": "",
          "technique_id": "T1059.001",
          "tactic": "execution",
          "description": "Process created: powershell.exe",
          "source": "auto",
          "created_at": "2026-02-20T09:15:00Z"
        }
      ]
    }
  ],
  "technique_breakdown": [
    {
      "technique_id": "T1059.001",
      "technique_name": "PowerShell",
      "tactic": "execution",
      "artifact_count": 47,
      "hosts": ["DC01", "WS01", "WS02"]
    }
  ]
}

Pour les artefacts de type file, si le champ value contient une chaîne hexadécimale de 64 caractères, le rapport IOC remplit automatiquement le champ hash avec le hachage SHA256 pour faciliter le partage IOC.

Chronologie des fiançailles¶

Une vue chronologique de tous les artefacts associés aux métadonnées de beacon, prenant en charge le filtrage multidimensionnel. La chronologie est classée par ordre croissant (croissant) et est conçue pour la reconstruction de l'engagement et l'analyse post-opératoire.

GET /api/v1/artifacts/timeline

Paramètres de filtre¶

curl -s "https://stentor.app/api/v1/artifacts/timeline" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/timeline?host=DC01&limit=100" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/timeline?technique=T1059.001" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/timeline?start=2026-02-19T00:00:00Z&end=2026-02-21T23:59:59Z" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/artifacts/timeline?format=pdf&host=DC01" \
  -H "Authorization: Bearer $TOKEN" \
  -o engagement-timeline.pdf

Réponse chronologique¶

{
  "timeline": {
    "generated_at": "2026-02-21T15:30:00Z",
    "total_entries": 834,
    "filters": {
      "hostname": "DC01",
      "technique_id": "T1059.001"
    },
    "entries": [
      {
        "timestamp": "2026-02-19T08:12:00Z",
        "beacon_id": "beacon-uuid",
        "hostname": "DC01",
        "username": "CORP\\jdoe",
        "ip": "10.10.10.10",
        "artifact_type": "process",
        "path": "powershell.exe",
        "value": "",
        "technique_id": "T1059.001",
        "tactic": "execution",
        "description": "Process created: powershell.exe",
        "source": "auto"
      }
    ]
  }
}

Référence API¶

Voir aussi¶

• Intégration MITRE ATT&CK -- Base de connaissances, fonctions de script CNA et recherche de techniques
• Rapports de campagne – Rapports sur la campagne dans 6 formats
• Campagnes C2 -- Gestion de campagne et association de beacons
• Journal d'audit -- Piste d'audit des actions de l'opérateur