RITA (Real Intelligence Threat Analytics)

Wenn Sie von RITA profitieren und einen Schritt weiter gehen möchten mit Jagdautomatisierung, futuristischen Visualisierungen und Datenanreicherung, dann werfen Sie einen Blick auf AC-Hunter.

Bereitgestellt von Active Countermeasures.

Gesponsert von BHIS.

RITA ist ein Open-Source-Framework für die Netzwerkverkehrsanalyse.

Das Framework verarbeitet Zeek-Logs im TSV- oder JSON-Format und unterstützt derzeit die folgenden Hauptfunktionen:

• Beaconing-Erkennung: Suche nach Anzeichen von Beaconing-Verhalten in und aus Ihrem Netzwerk
• Erkennung langer Verbindungen: Einfach Verbindungen sehen, die über lange Zeiträume kommuniziert haben
• DNS-Tunnel-Erkennung: Suche nach Anzeichen von DNS-basierten verdeckten Kanälen
• Bedrohungsintelligenz-Feed-Prüfung: Bedrohungsintelligenz-Feeds abfragen, um nach verdächtigen Domänen und Hosts zu suchen

Quick Start

Bitte beachten Sie unsere empfohlenen Systemanforderungen. RITA benötigt Docker Engine mit dem Compose-Plugin.

1. Laden Sie das RITA-Installationsprogramm für die gewünschte Version herunter.

2. Entpacken Sie die Installations-Tar-Datei.

   root@kitploit:~

   tar -xf rita-<version>-installer.tar.gz
   

3. Führen Sie das Installationsskript aus.

   root@kitploit:~

   ./rita-<version>-installer/install_rita.sh
   

Supported Platforms

Die folgenden Betriebssysteme/Versionen und CPU-Architekturen werden unterstützt:

Installing Zeek

RITA benötigt Zeek, um Netzwerkprotokolle zu generieren. Wenn Sie Zeek noch nicht installiert haben, installieren Sie docker-zeek und führen Sie zeek start aus.

Importing

Importieren Sie Daten mit dem Befehl import in RITA:

rita import --database=mydatabase --logs=~/mylogs

database ist der gewünschte Name des Datensatzes

logs ist der Pfad zu den Zeek-Logs, die Sie importieren möchten

Für Datensätze, die im Laufe der Zeit Daten ansammeln sollen, wobei die Logs aktuelle Netzwerkinformationen (weniger als 24 Stunden alt) enthalten, verwenden Sie das --rolling-Flag während der Erstellung und bei jedem nachfolgenden Import in den Datensatz. Der häufigste Anwendungsfall hierfür ist das stündliche Importieren von Logs eines Zeek-Sensors über einen Cron-Job.

Hinweis: Für Datensätze, die mehr als 24 Stunden Logs enthalten, aber älter als 24 Stunden sind, importieren Sie einfach das übergeordnete Verzeichnis des Log-Satzes ohne das --rolling-Flag. Das Importieren dieser Logs mit dem --rolling-Flag kann zu falschen Ergebnissen führen.

Um einen Datensatz zu zerstören und neu zu erstellen, verwenden Sie das --rebuild-Flag.

Configuration

Siehe Configuration für Details zur Anpassung der Bewertung.

Searching

RITA folgt einer GitHub-ähnlichen Suchsyntax. Jedes Feld folgt dem <field>:<value>-Format, wobei die einzelnen Suchkriterien durch ein Leerzeichen getrennt werden. For example:

src:192.168.88.2 dst:165.227.88.15 beacon:>=90 sort:duration-desc

Supported Search Fields

Supported Sort Fields

Die Sortiersyntax ist sort:<column>-<sort direction>, wobei die Sortierrichtung asc für aufsteigend oder desc für absteigend ist.

Unterstützte Spalten:

• severity
• beacon
• duration
• subdomains

CSV Output

Um die Ergebnisse als CSV auszugeben, anstatt sie in der Terminal-UI anzuzeigen, übergeben Sie das --stdout- oder -o-Flag an den Befehl view:

Das Flag muss vor dem Namen des Datensatzes stehen.

rita view --stdout mydataset

Terminal UI Color Support

Die Terminal-Benutzeroberfläche (TUI) unterstützt standardmäßig farbige Ausgaben. Sie muss nicht aktiviert werden.

Überprüfen Sie den Wert der "$TERM"-Variable; dieser sollte xterm-256color sein. Falls nicht, setzen Sie diese Variable in der entsprechenden Datei Ihres Betriebssystems wie ~/.bash_profile, ~/.profile usw.

Abhängig vom Farbthema Ihres Terminals passt sich die TUI entweder an einen hellen oder einen dunklen Modus an.

Wenn Sie wirklich schick sind und hübsche Farben mögen, ziehen Sie das Catpuccin-Theme in Betracht!