thehive-project/cortexCortex: eine leistungsstarke Engine zur Analyse von Observablen und aktiven Reaktionen
Cortex versucht, ein häufiges Problem zu lösen, dem SOCs, CSIRTs und Sicherheitsforscher im Rahmen von Threat Intelligence, digitaler Forensik und Incident Response immer wieder begegnen: Wie lassen sich Observables, die sie gesammelt haben, in großem Umfang analysieren, indem ein einziges Tool abgefragt wird, anstatt mehrere?
Cortex, eine Open-Source- und kostenlose Software, wurde vom TheHive Project genau für diesen Zweck entwickelt. Observables wie IP- und E-Mail-Adressen, URLs, Domainnamen, Dateien oder Hashes können einzeln oder im Massenmodus über eine Weboberfläche analysiert werden. Analysten können diese Vorgänge dank der Cortex-REST-API auch automatisieren.
Mit Cortex müssen Sie das Rad nicht jedes Mal neu erfinden, wenn Sie einen Dienst oder ein Tool zur Analyse eines Observables nutzen möchten, um den jeweiligen Fall zu untersuchen. Nutzen Sie einen der zahlreichen Analyzer, die Cortex enthält. Wenn Ihnen ein Tool oder ein Dienst fehlt, erstellen Sie einfach ein geeignetes Programm und stellen Sie es dem gesamten Team (oder besser, der gesamten Community) dank Cortex zur Verfügung.
Zusammen mit MISP ist Cortex der perfekte Begleiter für TheHive. TheHive ermöglicht es Ihnen, dutzende oder hunderte Observables mit wenigen Klicks zu analysieren, indem Sie eine oder mehrere Cortex-Instanzen nutzen – je nach Ihren OPSEC-Anforderungen und Leistungsbedürfnissen. Darüber hinaus verfügt TheHive über eine Berichtsvorlagen-Engine, mit der Sie die Ausgabe der Cortex-Analyzer ganz nach Ihrem Geschmack anpassen können, anstatt eigene JSON-Parser für die Cortex-Ausgabe erstellen zu müssen.
Cortex kann auf zwei Arten in MISP integriert werden:
Um Cortex auszuprobieren, können Sie die Trainings-VM verwenden oder es anhand der Installationsanleitung installieren.
Cortex ist in Scala geschrieben. Das Frontend verwendet AngularJS mit Bootstrap. Die REST-API ist zustandslos und dadurch horizontal skalierbar. Die mitgelieferten Analyzer sind in Python geschrieben. Zusätzliche Analyzer können in derselben Sprache oder in jeder anderen von Linux unterstützten Sprache verfasst werden.
Dank Cortex können Sie verschiedene Arten von Observables mithilfe dutzender Analyzer analysieren. Stand 14. April 2018 gibt es 39 öffentlich verfügbare Analyzer. Die meisten Analyzer gibt es in verschiedenen Varianten. Beispielsweise können Sie mit dem VirusTotal-Analyzer eine Datei an VT übermitteln oder einfach den neuesten verfügbaren Bericht zu einer Datei oder einem Hash abrufen. Die vollständige Liste der Analyzer, einschließlich Varianten und Anforderungen, wird im Cortex Analyzers Requirements Guide gepflegt.
Wir haben mehrere Anleitungen im Dokumentations-Repository bereitgestellt.
Cortex ist eine Open-Source- und kostenlose Software, die unter der AGPL (Affero General Public License) veröffentlicht wurde. Wir, das TheHive Project, setzen uns dafür ein, dass Cortex auch langfristig ein freies und quelloffenes Projekt bleibt.
Informationen, Neuigkeiten und Aktualisierungen werden regelmäßig auf dem TheHive-Project-Twitter-Account und im Blog veröffentlicht.
Wir freuen uns über Ihre Beiträge, insbesondere neue Analyzer, die überarbeiteten Kollegen etwas Last abnehmen können. Sie können den Code gerne forken, damit herumspielen, Patches erstellen und uns Pull Requests über Issues zusenden.
Wir haben einen Verhaltenskodex. Bitte schauen Sie ihn sich an, bevor Sie einen Beitrag leisten.
Bitte eröffnen Sie ein Issue auf GitHub, wenn Sie einen Fehler melden oder eine Funktion anfragen möchten.
Wichtiger Hinweis: Wenn Sie ein Problem mit einem Analyzer feststellen, einen neuen Analyzer anfragen oder eine Verbesserung eines bestehenden Analyzers wünschen, eröffnen Sie bitte ein Issue im eigenen GitHub-Repository für Analyzer. Wenn Sie Probleme mit TheHive haben oder eine TheHive-bezogene Funktion anfragen möchten, eröffnen Sie bitte ein Issue im eigenen GitHub-Repository für TheHive.
Alternativ können Sie das Projektteam per E-Mail unter [email protected] kontaktieren.
