RITA (استخبارات التهديدات التحليلية الواقعية)

إذا كنت تستفيد من RITA وترغب في الانتقال خطوة أبعد نحو أتمتة الصيد، والتصورات المستقبلية، وإثراء البيانات، فاطلع على AC-Hunter.

مقدم لكم من Active Countermeasures.

برعاية BHIS.

RITA هو إطار عمل مفتوح المصدر لتحليل حركة مرور الشبكة.

يستوعب الإطار سجلات Zeek بتنسيق TSV أو JSON، ويدعم حاليًا الميزات الرئيسية التالية:

• كشف سلوك المنارات: البحث عن علامات سلوك المنارات داخل وخارج شبكتك
• كشف الاتصالات الطويلة: رؤية الاتصالات التي استمرت لفترات طويلة بسهولة
• كشف نفق DNS: البحث عن علامات القنوات الخفية القائمة على DNS
• فحص موجز استخبارات التهديدات: الاستعلام عن موجزات استخبارات التهديدات للبحث عن النطاقات والمضيفين المشبوهين

بداية سريعة

يرجى الاطلاع على متطلبات النظام الموصى بها. يتطلب RITA محرك Docker مع إضافة Compose.

1. قم بتنزيل مثبت RITA للإصدار المطلوب.

2. قم بفك ضغط ملف المثبت.

   root@kitploit:~

   tar -xf rita-<version>-installer.tar.gz
   

3. قم بتشغيل سكريبت التثبيت.

   root@kitploit:~

   ./rita-<version>-installer/install_rita.sh
   

المنصات المدعومة

أنظمة التشغيل/الإصدارات وبنى المعالجات التالية مدعومة:

تثبيت Zeek

يتطلب RITA Zeek لإنشاء سجلات الشبكة. إذا لم يكن Zeek مثبتًا لديك بالفعل، فقم بتثبيت docker-zeek وشغل zeek start.

الاستيراد

استورد البيانات إلى RITA باستخدام الأمر import:

rita import --database=mydatabase --logs=~/mylogs

database هو الاسم الذي تريده لمجموعة البيانات

logs هو المسار إلى سجلات Zeek التي ترغب في استيرادها

بالنسبة لمجموعات البيانات التي يجب أن تتراكم البيانات بمرور الوقت، مع احتواء السجلات على معلومات شبكة حالية (أقل من 24 ساعة)، استخدم العلم --rolling أثناء الإنشاء وكل استيراد لاحق إلى مجموعة البيانات. حالة الاستخدام الأكثر شيوعًا لذلك هي استيراد السجلات من مستشعر Zeek عبر وظيفة cron كل ساعة.

ملاحظة: بالنسبة لمجموعات البيانات التي تحتوي على سجلات تزيد عن 24 ساعة، ولكنها أقدم من 24 ساعة، ما عليك سوى استيراد الدليل الأعلى لمجموعة السجلات بدون العلم --rolling. قد يؤدي استيراد هذه السجلات باستخدام العلم --rolling إلى نتائج غير صحيحة.

لتدمير مجموعة البيانات وإعادة إنشائها، استخدم العلم --rebuild.

الإعدادات

راجع الإعدادات للحصول على تفاصيل حول تعديل التقييمات.

البحث

يتبع RITA بناء جملة بحث على غرار GitHub. يتبع كل حقل تنسيق <field>:<value>، مع فصل كل معيار بحث بمسافة. على سبيل المثال:

src:192.168.88.2 dst:165.227.88.15 beacon:>=90 sort:duration-desc

حقول البحث المدعومة

حقول الفرز المدعومة

بناء جملة الفرز هو sort:<column>-<sort direction>، مع اتجاه الفرز asc للتصاعدي أو desc للتنازلي.

الأعمدة المدعومة:

• severity
• beacon
• duration
• subdomains

إخراج CSV

لإخراج النتائج إلى CSV بدلاً من عرضها داخل واجهة المستخدم الطرفية، مرر العلم --stdout أو -o إلى الأمر view:

يجب أن يكون العلم قبل اسم مجموعة البيانات.

rita view --stdout mydataset

دعم ألوان واجهة المستخدم الطرفية

تدعم واجهة المستخدم الطرفية (TUI) الإخراج الملون افتراضيًا. لا تحتاج إلى تمكينه.

تحقق من قيمة المتغير "$TERM"، يجب أن تكون xterm-256color. إذا لم تكن كذلك، يرجى تعيين هذا المتغير في نسخة نظام التشغيل الخاص بك من ~/.bash_profile، ~/.profile، إلخ.

اعتمادًا على سمة الألوان في الطرفية الخاصة بك، ستتكيف TUI إما مع الوضع الفاتح أو الوضع الداكن.

إذا كنت حقًا من محبي الألوان الجميلة، ففكر في استخدام سمة Catpuccin!