Yeti Plattform

Yeti zielt darauf ab, die Lücke zwischen CTI- und DFIR-Praktikern zu schließen, indem es eine Forensics-Intelligence-Plattform und -Pipeline für DFIR-Teams bereitstellt. Es entstand aus der Frustration heraus, die Frage beantworten zu müssen: "Wo habe ich dieses Artefakt schon einmal gesehen?" oder "Wie durchsuche ich meine Timeline nach IOCs, die mit dieser Bedrohung (oder allen Bedrohungen?) zusammenhängen?"

Dokumentationslinks:

• Hauptwebsite: https://yeti-platform.io/
• Dokumentation
• Leitfäden

Was ist Yeti?

Kurz gesagt, Yeti ermöglicht Ihnen:

• Bulk-Suche nach Observablen und eine recht gute Einschätzung der Art der Bedrohung und wie man sie auf einem System findet.
• Umgekehrt können Sie sich auf eine Bedrohung konzentrieren und schnell alle TTPs, Malware und zugehörigen DFIR-Artefakte auflisten.
• Lassen Sie CTI-Analysten sich auf das Hinzufügen von Intelligence konzentrieren, anstatt sich um maschinenlesbare Exportformate zu kümmern.
• Integrieren Sie Ihre eigenen Datenquellen, Analysen und Logik sehr einfach.

Dies wird erreicht durch:

• Speicherung technischer und taktischer CTI (Observablen, TTPs, Kampagnen usw.) aus internen oder externen Systemen.
• Als Backend für DFIR-bezogene Abfragen: Yara-Signaturen, Sigma-Regeln, DFIQ.
• Bereitstellung einer Web-API zur Automatisierung von Abfragen (denken Sie an Incident-Management-Plattformen) und Anreicherung (denken Sie an Malware-Sandboxen).
• Exportieren der Daten in benutzerdefinierten Formaten, sodass sie von Drittanbieteranwendungen (SIEM, DFIR-Plattformen) aufgenommen werden können.

Einige Screenshots