نظرة عامة
Sooty هي أداة تم تطويرها بهدف مساعدة محللي SOC في أتمتة جزء من سير عملهم. أحد أهداف Sooty هو إجراء أكبر عدد ممكن من الفحوصات الروتينية، مما يتيح للمحلل وقتًا أطول للتحليل العميق في نفس الإطار الزمني. يمكن العثور على تفاصيل حول العديد من ميزات Sooty أدناه.
Sooty مدعوم الآن بفخر من Tines.com! منصة SOAR لفرق الأمن المؤسسي.
المحتويات
يمكن لـ Sooty حالياً:
- تنقية عناوين URL لتكون آمنة للإرسال في البريد الإلكتروني
- إجراء بحث DNS عكسي وعادي
- إجراء فحوصات السمعة من:
- تحديد ما إذا كان العنوان ضارًا محتملاً، مستخدمًا للبريد العشوائي، روبوتات الويب:
- التحقق مما إذا كان عنوان IP هو عقدة خروج TOR
- فك تشفير عناوين URL من Proofpoint، وعناوين URL المشفرة بـ UTF-8، وعناوين Office SafeLink URL، وسلاسل Base64، وكلمات مرور Cisco7.
- الحصول على تجزئات الملفات ومقارنتها مع VirusTotal (راجع المتطلبات)
- إجراء استعلامات WhoIs
- التحقق من أسماء المستخدمين وعناوين البريد الإلكتروني على HaveIBeenPwned لمعرفة ما إذا حدث اختراق. (راجع المتطلبات)
- تحليل بسيط للبريد الإلكتروني لاستخراج عناوين URL وعناوين البريد الإلكتروني ومعلومات الرأس.
- استخراج عناوين IP من رسائل البريد الإلكتروني.
- توسيع عناوين URL المختصرة من خدمات خارجية. (محدود بـ 10 طلبات في الساعة)
- الاستعلام URLScan.io عن تقارير السمعة.
- تحليل عناوين البريد الإلكتروني للأنشطة الضارة المعروفة والإبلاغ عن سمعة النطاق باستخدام EmailRep.io
- إنشاء قوالب بريد إلكتروني ديناميكية يمكن استخدامها كأساس للاستجابة لفرز التصيد. (.msg فقط، .eml قادمة في تحديث مستقبلي)
- إجراء إثراء تحليلي لرسائل التصيد باستخدام قاعدة بيانات HaveIBeenPwned، ويمكنه تحديد ما إذا كان عنوان البريد الإلكتروني قد تم اختراقه في الماضي ومتى وأين حدث الاختراق. (يتطلب مفتاح API).
- إرسال عناوين URL إلى PhishTank. (راجع المتطلبات)
- Unfurl عناوين URL عبر إصدار CLI من Unfurl.
- انظر أدناه للحصول على قائمة كاملة وتخطيط الأدوات المتاحة حالياً:
└── Main Menu
├── Sanitize URL's for use in emails
| └── URL Sanitizing Tool
├── Decoders
| ├── ProofPoint Decoder
| ├── URL Decoder
| ├── Office Safelinks Decoder
| ├── URL Unshortener
| ├── Base 64 Decoder
| ├── Cisco Password 7 Decoder
| └── Unfurl URL
├── Reputation Checker
| └── Reputation Checker for IP's, URL's or email addresses
├── DNS Tools
| ├── Reverse DNS Lookup
| ├── DNS Lookup
| └── WhoIs Lookup
├── Hashing Functions
| ├── Hash a File
| ├── Hash a Text Input
| ├── Check a hash for known malicious activity
| └── Hash a file and check for known malicious activity
├── Phishing Analysis
| ├── Analyze an Email
| ├── Analyze an email address for known malicious activity
| ├── Generate an email template based on analysis
| ├── Analyze a URL with Phishtank
| └── HaveIBeenPwned Lookup
├── URL Scan
| └── URLScan.io lookup
├── Extra's
| ├── About
| ├── Contributors
| ├── Version
| ├── Wiki
| └── Github Repo
└── Exit
المتطلبات والتثبيت
- Python 3.x
- قم بتثبيت جميع التبعيات من ملف requirements.txt.
pip install -r requirements.txt
- قم بتشغيل الأداة بالانتقال إلى الدليل الرئيسي وتنفيذ
python Sooty.py، أو ببساطة Sooty.py
- هناك حاجة إلى عدة مفاتيح API للحصول على الوظائف الكاملة لـ Sooty. ومع ذلك، ستظل الأداة تعمل بدون هذه المفاتيح، ولكن بدون الوظائف الإضافية التي توفرها. الروابط موجودة أدناه:
- استبدل المفتاح المقابل في ملف
example_config.yaml، وأعد تسمية الملف إلى config.yaml، مثال التخطيط أدناه:
- لدعم PhishTank، يلزم أيضًا اسم تطبيق فريد كحقل إضافي. قم بتحديث ملف
config.yaml باسمك الفريد.
الإطلاق مع Docker
- docker build -t sooty . && docker run --rm -it sooty
التطوير
هل تريد المساهمة؟ رائع!
مساهمات الكود
- إذا كنت ترغب في العمل على ميزة، اترك تعليقًا في صفحة المشكلات وسأقوم بتعيينك إليها.
- تحت علامة التبويب "المشاريع" توجد قائمة بالميزات التي تنتظر البدء / الإكمال.
- يجب أن تتم جميع تعديلات الكود أو التحسينات أو الإضافات من خلال طلب سحب.
- بعد المراجعة والدمج، ستتم إضافة المساهمين إلى ملف ReadMe.
وجدت خطأ؟ أرني!
الأخطاء والمشكلات
- إذا تم العثور على مشكلة / خطأ، يرجى فتح تذكرة في متتبع المشكلات واستخدام نموذج تقرير الخطأ. قم بملء هذا النموذج وتضمين أي معلومات إضافية ذات صلة.
- إذا كنت ترغب في العمل على خطأ معروف، اترك تعليقًا في صفحة المشكلات وافتح طلب سحب لتتبع التقدم. سأقوم بتعيينك إليها.
- إذا كانت هناك مشكلة في التثبيت أو الاستخدام، استخدم النموذج المرفق وسأرد في أقرب وقت ممكن.
طلب الميزات
- يجب أن تبدأ الميزات / الطلبات الجديدة بفتح مشكلة. يرجى استخدام النموذج المرفق عند إنشاء مشكلة جديدة. يساعد هذا في تتبع الميزات الجديدة ومنع التداخل. أرفق أي معلومات إضافية تبدو ذات صلة إذا لزم الأمر. قبل إنشاء مشكلة جديدة، يرجى التحقق من علامة التبويب المشاريع لمعرفة ما إذا كانت هذه المشكلة قد طُلبت بالفعل، أو مباشرة مع المشكلات المفتوحة الأخرى.
سجل التغييرات
Version 1.3 - The Templating Update
- أضيفت أول تكرار لقوالب البريد الإلكتروني الديناميكية التي تُنشأ بناءً على تحليل Sooty، المثال أدناه:
- أضيفت صورة Docker
- أضيف Unfurl
Version 1.2 - The Phishing Update
- أضيفت أول تكرار لأداة التصيد.
- قادرة على تحليل بريد إلكتروني (.msg / Outlook فقط تم اختباره حاليًا) واسترداد عناوين البريد الإلكتروني وعناوين URL (فك تشفير Proofpoint إذا لزم الأمر) واستخراج المعلومات من الرؤوس.
- استخراج عناوين IP من نص البريد الإلكتروني.
- فحص سمعة مرسل البريد الإلكتروني وتقديم معلومات محسنة.
Version 1.1 - The Reputation Update
- تحسين مدقق السمعة
- إضافة وظيفة HaveIBeenPwned
- إضافة أدوات DNS ووظيفة WhoIs
- إضافة مدققات التجزئة وVirusTotal
- إضافة Abuse IPDB وعقدة خروج Tor وBadIP's إلى مدقق السمعة
Version 1.0
- الإصدار الأولي
- مفك ترميز URL وProofpoint
- التنفيذ الأولي لمدقق السمعة
- تنقية الروابط لتكون آمنة للبريد الإلكتروني
خريطة الطريق
هذا مخطط للميزات التي ستأتي في الإصدارات المستقبلية.
Version 1.2 - The Phishing Update
- فحص مرفقات البريد الإلكتروني بحثًا عن محتوى ضار، ووحدات ماكرو، وملفات، وفحص التجزئات، إلخ.
Version 1.3 - The Templating Update
إضافة قوالب بريد إلكتروني ديناميكية تُنشأ بناءً على تحليل Sooty. تعديل: تمت الإضافة- التحقق من سجلات MX
- إجراء التحقق من DKIM
Version 1.4 - The PCAP Analysis Update
- إضافة القدرة على تحليل ملفات .pcap وتقديم معلومات موجزة ومحسنة.
Version 1.x - The Case Update
- إضافة ميزة 'حالة جديدة'، تسمح بإخراج الأداة إلى ملف نصي.
المساهمون:
مساهمات الكود:
- Aaron J Copley لنسخته المعدلة من كود ProofPoint لفك تشفير عناوين URL الخاصة بـ ProofPoint
- James Duarte لإضافة خيار التجزئة والتحقق التلقائي إلى وظيفة التجزئة
- mrpnkt لإضافة متطلب whois المفقود إلى requirements.txt
- Gurulhu لإضافة مفكك ترميز Base64 إلى قائمة مفككات الترميز
- AndThenEnteredAlex لإضافة وظيفة URLScan من URLScan.io
- Eric Kelson لإصلاح متطلب pywin32 غير الضروري على أنظمة Linux في requirements.txt
- Jenetiks لإزالة وترتيب الواردات المكررة التي تراكمت بمرور الوقت، ولتوفير التبديل بين الفحوصات العامة والخاصة على URLScan.io
- Nikosch86 لإصلاح مشكلة مع hexdigest لا تخزن تجزئة الملف بشكل صحيح
- Naveci للعديد من إصلاحات الأخطاء، تحسينات جودة الحياة، فك تشفير كلمة مرور Cisco 7، وتقديم سير عمل للمساعدة في المشكلات في المستقبل. تمت إضافة دعم Phishtank أيضًا، وقوائم سوداء إضافية لعناوين IP لمدقق السمعة.
- MrMeeseeks2014 لإصلاح خطأ يتعلق بتحميل التجزئات
- mrn42 لإضافة دعم Docker
- Ryan Benson لإضافة دعم Unfurl إلى قسم مفككات الترميز
- Nitin Mukesh حدد وأصلح خطأ في بحث سمعة BadIP's، وإنشاء إخراج نصي مخزن لتحليل Sooty.
- Sarthak لإصلاح مشكلة متعلقة بمفتاح API الخاص بـ emailrep
- Lesander الذي أصلح مشكلة في bash لا يتعرف على Sooty كملف قابل للتنفيذ.
مساهمو التوثيق:
- Danielf-5 لتحسينات في قابلية القراءة
- Paralax لإصلاح الأخطاء الإملائية في ملف readme.
- mrn42 لإضافة توثيق Docker إلى ملف readme
theresafewconors/sooty
