punch-cyber/stoqEin Open-Source-Framework für automatisierte Analyse auf Unternehmensebene.
stoQ ist ein Automatisierungs-Framework, das hilft, die alltäglichen und sich wiederholenden Aufgaben eines Analysten zu vereinfachen. Es ermöglicht Analysten und DevSecOps-Teams, schnell zwischen verschiedenen Datenquellen, Datenbanken, Kodierern/Dekodierern und zahlreichen anderen Aufgaben zu wechseln – unter Verwendung angereicherter und konsistenter Datenstrukturen. stoQ wurde entwickelt, um unternehmenstauglich und skalierbar zu sein, aber gleichzeitig auch schlank genug für einzelne Sicherheitsforscher.
stoQ war ursprünglich eine Sammlung von Skripten, die uns halfen, Probleme zu lösen, auf die wir täglich stießen. Diese Aufgaben – wie das Parsen einer SMTP-Sitzung, das Extrahieren von Anhängen, das Scannen mit einer Vielzahl von benutzerdefinierten und Open-Source-Tools, das Speichern der Ergebnisse und schließlich deren Analyse – nahmen einen immer größeren Teil unserer Teamressourcen in Anspruch. Wir verbrachten zunehmend Zeit damit, Daten zu sammeln und zu extrahieren. Das kostete wertvolle Ressourcen, die uns fehlten, um tatsächlich Angreifer zu finden und zu analysieren, die auf unsere Netzwerke abzielten.
Wir wurden es leid, das Hamsterrad zu drehen, und beschlossen, etwas dagegen zu unternehmen. 2011 begannen wir mit der Entwicklung eines Frameworks, das nicht nur das oben genannte Problem lösen, sondern uns auch ermöglichen sollte, den Datenfluss und die automatisierten Analysen schnell zu ändern, schnell auf neue Datenbanken für die Ergebnisse umzuschalten und einfach in der Lage zu sein, auf sich ändernde Taktiken, Techniken und Verfahren (TTPs) der Angreifer zu reagieren.
Am wichtigsten war, dass wir ein Tool entwickeln wollten, das uns das tun lässt, was wir lieben – Netzwerke gegen entschlossene, fokussierte und unerbittliche Angreifer zu verteidigen.
2015, nachdem stoQ in mehreren großen operativen Netzwerken ausgereift war, entschieden wir uns, unsere Arbeit als Open Source zu veröffentlichen, in der Hoffnung, der breiteren Netzwerkverteidigungs-Community zu helfen. Seitdem verbessern wir stoQ ständig, dank des Feedbacks und der Beiträge der stoQ-Benutzergemeinschaft.
