المستجيب التلقائي

أداة استجابة لحوادث كربون بلاك للبحث عن التهديدات في البيئة

ما هو؟

المستجيب التلقائي هو أداة تهدف إلى مساعدة الأشخاص في تنفيذ مهام الاستجابة للحوادث بمساعدة القدرات الرائعة لـ Carbon Black Response ودون إزعاج فرق تكنولوجيا المعلومات / النظام / الشبكة كثيرًا.

ماذا يمكنه أن يفعل؟

لمن هذه الأداة؟

كيف؟

بالنسبة لأولئك الذين ليسوا على دراية بـ Carbon Black Response، فهو منتج رائع يقدم حلاً لحالات الاستجابة للحوادث بطريقته الفريدة والرائعة. يحتوي Carbon Black Response على تكامل API بايثون يساعد الأشخاص في أتمتة مهامهم - مما يوفر الكثير من الوقت. لذا كل ما تراه في هذا المشروع هو مجرد سحر API بايثون - لا أكثر ولا أقل.

لكن لماذا ..؟

في الأشهر الماضية، كان هناك العديد من حالات الاستجابة للحوادث التي كان على فريقنا التعامل معها. على الرغم من أننا تجاوزناها بجدارة، لاحظت أن فريقنا كان يعاني من التواصل مع فرق تكنولوجيا المعلومات / النظام / الشبكة لدى العميل، وعندما تمكنوا من ذلك، كان البحث عن ملف واحد يستغرق أسابيع. نظرًا لأننا شريك Carbon Black للاستجابة للحوادث ولأننا نستخدم Carbon Black Response بشكل كبير في معظم الحالات التي نشارك فيها، قررت كتابة أداة لمساعدة فريقنا في إنجاز مهام كبيرة جدًا في وقت قصير جدًا بأقل قدر من المساعدة من الآخرين.

ما المشكلة الكبيرة؟ هناك أدوات وأشخاص آخرون لهذا

حسنًا، تخيل سيناريو حيث تم اختراق مئات نقاط النهاية، وأنشأ المخترق وجودًا مستمرًا على جميعها وأسقط عددًا كبيرًا من الملفات. ومن الصدفة - قرر فريق تكنولوجيا المعلومات بأكمله الذهاب في إجازة دون ترك أي شخص في المكتب للتعامل مع الحادث، ويريد مسؤول النطاق تقديم تقرير لكل ضغطة مفتاح على لوحة المفاتيح - مما يلغي قدرتك على تحديد التهديدات والقضاء عليها على الأنظمة المخترقة. حظًا موفقًا! (قصة حقيقية بالمناسبة)

كيف يمكنني استخدامها؟

الكود مكتوب بلغة بايثون 3 لذا أي إصدار أعلى من 3.4 سيعمل بشكل جيد

1. قم بتنزيل الملف المضغوط أو نفذ git clone
2. قم بتثبيت الوحدات المطلوبة باستخدام pip3 install -r requirements.txt
3. قم بتكوين Carbon Black API => https://cbapi.readthedocs.io/en/latest/
4. انطلق

فحص THOR

لفحص مستودع الملفات الثنائية باستخدام THOR، كل ما عليك فعله هو:

1. الحصول على حزمة thor لينكس
2. إضافة الترخيص الصحيح (الترخيص التجريبي غير مدعوم)
3. رفع دليل THOR إلى خادم CBR الذي ترغب في فحصه (Master على بيئة مفردة و Minion على بيئة مجمعة)
4. تشغيل وحدة run-thor

شكر خاص

شكر كبير لـ https://twitter.com/harunglec للمساعدة في وحدة تعدد العمليات.

يمكنك فحص مستودع الملفات الثنائية بالكامل الذي يحتوي على الملفات القابلة للتنفيذ التي تم جمعها بواسطة CBR باستخدام ماسح THOR APT. https://twitter.com/thor_scanner

ملاحظة

هذا مجرد كود بايثون - مما يعني أنه يمكنك تعديله حسب احتياجاتك. يرجى الإبلاغ عن أي مشكلات إلى => https://github.com/lawiet47/autoresponder/issues

تم اختبار جميع الوحدات الحالية ضد أجهزة استشعار تعمل بنظام Windows كبيئة نظام تشغيل. لكن يمكنك تجربتها على لينكس أيضًا.