RITA (Real Intelligence Threat Analytics) في Jupyter Notebook

RITA هو إطار عمل مفتوح المصدر لتحليل حركة مرور الشبكة برعاية Active Countermeasures

RITA-J هو تنفيذ ميزات RITA في Jupyter Notebook. الهدف هو دعم جميع أنواع سجلات جدار الحماية/الوكيل/DNS الموجودة بصيغة CSV أو TSV أو JSON، وتسهيل التحليل والاستقصاء وكشف نشاط C2 المحتمل دون الحاجة إلى تثبيت أجهزة إضافية ومكونات أخرى لصيانتها.

تمت مشاركة مجموعة البيانات النموذجية بواسطة علي الوشاحي (@ali_alwashali). وهي تحتوي على:

سجلات Zeek من ملفات PCAP من malware-traffic-analysis.net، من عام 2013 إلى 2021
تنبيهات Suricata التي أثارها تحليل PCAP

الميزات

كشف سلوك Beaconing: ابحث عن علامات سلوك beaconing داخل شبكتك وخارجها
كشف نفق DNS: ابحث عن علامات القنوات الخفية المستندة إلى DNS (قيد الإنجاز)
فحص القوائم السوداء: استعلم عن القوائم السوداء للبحث عن النطاقات والمضيفات المشبوهة (قيد الإنجاز)
سيتم إضافة المزيد من الميزات

المتطلبات

سجلات جدار الحماية/الوكيل بصيغة CSV أو JSON. إذا لم تكن السجلات محللة، يلزم تحليلها قبل التحليل.
يدعم الدفتر/الدفاتر ملفات CSV. يتطلب JSON تعيينًا يدويًا. بعض الموارد المفيدة لقراءة وتحليل ملفات JSON:

الحصول على السجلات والعمل مع صيغ السجلات المختلفة

هناك عدة طرق للحصول على السجلات.

القراءة من SIEM / DB / API
- https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
تصدير السجلات من SIEM بصيغة CSV/JSON
إرسال السجلات إلى خادم/موصل Syslog -> تحليلها -> تصديرها إلى ملف CSV/JSON
تصدير السجلات مباشرة إلى ملف، ثم تحويلها إلى CSV/JSON

مثال لتحويل سجلات Fortinet:
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

محول سجلات Fortinet CSV

قد يعمل السكريبت أدناه مع جميع ملفات السجلات التي تستخدم تسجيل أزواج المفاتيح والقيم.
https://github.com/N4SOC/fortilogcsv

التثبيت

سيتم إضافته

طريقة الاستخدام