skills/:
┌──────────────────┬────────────────────────────────────────────────────┐
│ Archivo │ Descripción │
├──────────────────┼────────────────────────────────────────────────────┤
│ lazyownbt_mcp.py │ Servidor MCP principal (~680 líneas) │
├──────────────────┼────────────────────────────────────────────────────┤
│ mcp_config.json │ Config lista para copiar a ~/.claude/settings.json │
└──────────────────┴────────────────────────────────────────────────────┘
35 herramientas MCP expuestas, organizadas por categoría Blue Team:
- Ejecución: run_command, discover_commands, command_help
- Config: get_config, set_config
- Amenazas: proc_scan, net_scan, net_conns, net_baseline, memory_scan
- Integridad (FIM): fim_baseline, fim_scan, add_critical_file
- Logs: log_analyze, monitor_start
- Hardening: harden_audit_ssh, harden_system, check_security, audit_users
- Respuesta a incidentes: block_ip, quarantine_file, kill_process
- IA/ML: ai_status, ai_test, ai_feedback, ai_retrain
- RAG/LLM: rag_query, rag_add, rag_status, rag_search
- Reportes: report_summary, report_processes, report_network, report_files, list_reports, read_report
- BD/Alertas: list_alerts, list_events, db_stats
- Patrones: list_patterns, add_suspicious_process, add_suspicious_port
- Hunting: redteam_hunt, sysinfo
LazyOwnBT es una herramienta de seguridad defensiva (Blue Team) diseñada para la detección de amenazas, análisis de logs, monitoreo de procesos y redes, verificación de integridad de archivos, endurecimiento del sistema, generación de informes y respuesta a incidentes en entornos Linux.
Esta herramienta está pensada para ser utilizada por equipos de seguridad, analistas de SOC y profesionales de ciberseguridad que buscan automatizar tareas de monitoreo y protección en sistemas operativos basados en Linux.
LazyOwnBT incluye un motor de detección basado en reglas Sigma para análisis de comandos y logs del sistema.
| ID | Título | Categoría | Nivel |
|---|---|---|---|
| LAZYOWN-001 | Mimikatz Credential Dump | credential_access | critical |
| LAZYOWN-002 | Reverse Shell Pattern | execution | critical |
| LAZYOWN-003 | Privilege Escalation via Sudo | privilege_escalation | high |
| LAZYOWN-004 | Nmap Scan Detected | discovery | medium |
| LAZYOWN-005 | Webshell Execution | execution | critical |
| LAZYOWN-006 | Process Injection | defense_evasion | high |
| LAZYOWN-007 | /etc/shadow Access | credential_access | critical |
| LAZYOWN-008 | Cron Persistence | persistence | high |
| LAZYOWN-009 | Lateral Movement SMB | lateral_movement | high |
| LAZYOWN-010 | Data Exfiltration | exfiltration | high |
from lazyownbt.detection import get_engine
engine = get_engine("lazyown.db")
# Detectar comandos peligrosos
alerts = engine.check_command("mimikatz", "sekurlsa::logonpasswords")
# Returns: [Alert(rule_id="LAZYOWN-001", level="critical")]
# Verificar logs de auditd
alerts = engine.check_audit_log(since_minutes=5)
# Obtener estadísticas
stats = engine.get_stats(since_minutes=60)
# Returns: {"total": 5, "critical": 2, "high": 2, "medium": 1}Crea un archivo JSON en sigma_rules/:
{
"title": "Mi Regla Custom",
"id": "CUSTOM-001",
"level": "high",
"category": "execution",
"condition": "command|contains: 'mi_comando_sospechoso'"
}Luego registra la regla en detection.py en la lista _SIGMA_RULES.
📌 Características Principales 🛡️ Integración de Inteligencia Artificial en LazyOwn BlueTeam Hemos transformado LazyOwn BlueTeam en una plataforma defensiva avanzada con capacidad de detección inteligente, aprovechando el modelo de IA entrenado por LazyOwn RedTeam. Esta integración cierra el ciclo entre ofensa y defensa, permitiendo que el conocimiento del atacante (Red Team) sea usado directamente para fortalecer la detección del defensor (Blue Team). Detección de Amenazas : Análisis avanzado de logs (/var/log/auth.log, /var/log/syslog, etc.) para detectar intentos de inicio de sesión fallidos, uso sospechoso de sudo, usuarios creados o eliminados. Monitoreo de Procesos y Redes : Detección de procesos y conexiones sospechosas basadas en nombres comunes de malware, puertos peligrosos o comportamiento inusual. Verificación de Integridad de Archivos (FIM) : Comparación de hashes de archivos críticos para identificar modificaciones no autorizadas. Endurecimiento del Sistema (Hardening) : Auditoría de configuraciones seguras para servicios como SSH, firewall (ufw), kernel y más. Respuesta a Incidentes : Bloqueo de IPs maliciosas, terminación de procesos sospechosos y escaneo de memoria en busca de cadenas peligrosas. Generación de Informes : Resúmenes estructurados de alertas, hallazgos y recomendaciones de mitigación. Módulos Modularizados : Arquitectura limpia con componentes reutilizables y fácil de extender.
🔧 ¿Qué Hemos Agregado?
- Motor de Detección con IA
- Un sistema que analiza comandos ejecutados en los logs.
- Usa un modelo de RandomForest + TF-IDF entrenado con miles de comandos reales de Red Team.
- Detecta comandos peligrosos, ofuscados o desconocidos que no coinciden con reglas simples.
🧰 Requisitos
- Python 3.8+ Dependencias listadas en requirements.txt Sistemas operativos compatibles: Linux (Ubuntu, Debian, CentOS, RHEL, etc.)
🛡️ Autor Gris Uno - @grisuno
Repositorio oficial: https://github.com/grisuno/LazyOwnBT.git
🚀 ¿Cómo Contribuir? ¡Las contribuciones son bienvenidas! Si deseas mejorar esta herramienta, corrige errores, añade módulos nuevos o mejoras la documentación, sigue estos pasos:
Haz un fork del repositorio. Crea una rama nueva (git checkout -b feature/amazing-feature). Realiza tus cambios y haz commit (git commit -m 'Add amazing feature'). Sube tu rama (git push origin feature/amazing-feature). Abre un Pull Request describiendo tus cambios.
