Rapports de campagne¶

Stentor génère des rapports d'engagement professionnel dans 6 formats d'exportation sur 7 types de rapports. Les rapports sont liés aux campagnes et extraient les données des beacons, des tâches, des informations d'identification, des listeners et des profils malléables.

Types de rapports¶

Formats d'exportation¶

API¶

Exporter le point de terminaison¶

GET /api/v1/c2/campaigns/:id/export?format=<format>&type=<type>

Exemples :

curl -s "https://stentor.app/api/v1/c2/campaigns/$CAMPAIGN_ID/export?format=pdf&type=activity" \
  -H "Authorization: Bearer $TOKEN" \
  -o activity-report.pdf

curl -s "https://stentor.app/api/v1/c2/campaigns/$CAMPAIGN_ID/export?format=json&type=indicators" \
  -H "Authorization: Bearer $TOKEN" | jq

curl -s "https://stentor.app/api/v1/c2/campaigns/$CAMPAIGN_ID/export?format=docx&type=full&mask_emails=true&mask_passwords=true&title=Engagement+Report" \
  -H "Authorization: Bearer $TOKEN" \
  -o engagement-report.docx

curl -s "https://stentor.app/api/v1/c2/campaigns/$CAMPAIGN_ID/export?format=csv&type=hosts" \
  -H "Authorization: Bearer $TOKEN" \
  -o hosts.csv

Contenu du rapport¶

Chronologie des activités¶

Chaque entrée comprend :

• Horodatage, nom d'hôte, nom d'utilisateur, PID
• Description de l'activité et type de tâche
• ID technique MITRE ATT&CK et ID MITRE
• Statut de la tâche (succès/échec)

Le mappage technique vers MITRE est automatique pour les types de tâches connus (PowerShell → T1059.001, WMI → T1047, injection de processus → T1055.003, etc.).

Indicateurs de compromis¶

Le rapport du CIO extrait des indicateurs de l'ensemble de la campagne :

• Payloads : Nom, hachage SHA256, format (exe/dll/service_exe), architecture
• IOC réseau : Hôte, port, protocole, objectif
• Hôtes contactés : Adresses IP des beacons connectées, avec noms d'écoute et de profil
• IOC du système de fichiers : Chemins et hachages des tâches de persistance
• IOC de registre : Clés et valeurs issues de la persistance et de la création de services
• Métadonnées PE : Taille, SHA256, somme de contrôle, point d'entrée, horodatage de compilation, sections
• En-têtes HTTP : En-têtes de requête et de réponse GET/POST provenant de profils C2 malléables

Rapport TTP¶

Regroupe les techniques par tactique MITRE ATT&CK avec statistiques d'utilisation :

• ID de la technique, nom, tactique
• Nombre d'utilisations et horodatage de la première utilisation
• Résumé tactique : techniques par tactique, utilisations totales

Rapport de l'AIIC DSL¶

Des rapports personnalisés peuvent être générés par programme via les scripts CNA :

Exemple de script CNA :

report("Custom Engagement Report");

page("Executive Summary");
h1("Engagement Overview");
p("This report summarizes findings from the authorized penetration test conducted on 2026-02-19.");

page("Compromised Hosts");
h2("Target Systems");
@headers = @("Hostname", "IP", "OS", "Access Level");
@rows = @(
    @("DC01", "10.10.10.10", "Windows Server 2022", "Domain Admin"),
    @("SQL01", "10.10.10.50", "Windows Server 2019", "Local Admin")
);
table(@headers, @rows);

report_save("/tmp/custom-report.pdf");