Übersicht

Sooty ist ein Werkzeug, das entwickelt wurde, um SOC-Analysten bei der Automatisierung eines Teils ihres Arbeitsablaufs zu unterstützen. Eines der Ziele von Sooty ist es, so viele der routinemäßigen Überprüfungen wie möglich durchzuführen, sodass der Analyst mehr Zeit für eine tiefere Analyse im selben Zeitrahmen hat. Details zu vielen Funktionen von Sooty finden Sie unten.

Sooty wird jetzt stolz von Tines.com unterstützt! Die SOAR-Plattform für Enterprise-Sicherheitsteams.

Inhalt

• Aktuelle Funktionen
• Anforderungen und Installation
• Entwicklung
• Änderungsprotokoll
• Fahrplan
• Mitwirkende

Sooty kann derzeit:

• URLs bereinigen, um sie sicher in E-Mails zu versenden
• Reverse-DNS- und DNS-Abfragen durchführen
• Reputationsprüfungen durchführen von:
  • VirusTotal
  • BadIP's
  • Abuse IPDB
• Identifizieren, ob eine Adresse potenziell bösartig ist, für Spam verwendet wird, Web-Bots:
  • Botvrij.eu
  • myip.ms
  • Firehol
• Überprüfen, ob eine IP-Adresse ein TOR-Ausgangsknoten ist
• Decodieren von Proofpoint-URLs, UTF-8-kodierten URLs, Office-SafeLink-URLs, Base64-Zeichenfolgen und Cisco7-Passwörtern.
• Datei-Hashes abrufen und mit VirusTotal vergleichen (siehe Anforderungen)
• WhoIs-Abfragen durchführen
• Benutzernamen und E-Mails gegen HaveIBeenPwned prüfen, um festzustellen, ob ein Datenleck aufgetreten ist. (siehe Anforderungen)
• Einfache Analyse von E-Mails, um URLs, E-Mails und Header-Informationen abzurufen.
• IP-Adressen aus E-Mails extrahieren.
• Gekürzte URLs von externen Diensten wiederherstellen. (Auf 10 Anfragen pro Stunde begrenzt)
• URLScan.io nach Reputationsberichten abfragen.
• E-Mail-Adressen auf bekannte bösartige Aktivitäten analysieren und über die Domain-Reputation mittels EmailRep.io berichten
• Dynamische E-Mail-Vorlagen erstellen, die als Grundlage für Phishing-Triage-Antworten verwendet werden können. (nur .msg, .eml kommt in einem zukünftigen Update)
• Analyse-Anreicherung für Phishing-E-Mails mit der HaveIBeenPwned-Datenbank durchführen und identifizieren, ob eine E-Mail-Adresse in der Vergangenheit kompromittiert wurde, wann dies geschah und wo das Datenleck aufgetreten ist. (Erfordert API-Schlüssel).
• URLs an PhishTank übermitteln. (siehe Anforderungen)
• URLs mit der CLI-Version von Unfurl entfalten.
• Siehe unten für eine vollständige Liste und Anordnung der derzeit verfügbaren Werkzeuge:

└── Main Menu
   ├── Sanitize URL's for use in emails
   |  └── URL Sanitizing Tool
   ├── Decoders
   |   ├── ProofPoint Decoder
   |   ├── URL Decoder
   |   ├── Office Safelinks Decoder
   |   ├── URL Unshortener
   |   ├── Base 64 Decoder
   |   ├── Cisco Password 7 Decoder
   |   └── Unfurl URL
   ├── Reputation Checker
   |   └── Reputation Checker for IP's, URL's or email addresses
   ├── DNS Tools
   |   ├── Reverse DNS Lookup
   |   ├── DNS Lookup
   |   └── WhoIs Lookup
   ├── Hashing Functions
   |   ├── Hash a File
   |   ├── Hash a Text Input
   |   ├── Check a hash for known malicious activity
   |   └── Hash a file and check for known malicious activity
   ├── Phishing Analysis
   |   ├── Analyze an Email
   |   ├── Analyze an email address for known malicious activity
   |   ├── Generate an email template based on analysis
   |   ├── Analyze a URL with Phishtank
   |   └── HaveIBeenPwned Lookup
   ├── URL Scan
   |   └── URLScan.io lookup
   ├── Extra's
   |   ├── About
   |   ├── Contributors
   |   ├── Version
   |   ├── Wiki
   |   └── Github Repo
   └── Exit

Anforderungen und Installation

• Python 3.x
• Installieren Sie alle Abhängigkeiten aus der requirements.txt-Datei. pip install -r requirements.txt
• Starten Sie das Tool, indem Sie in das Hauptverzeichnis navigieren und mit python Sooty.py oder einfach Sooty.py ausführen.
• Mehrere API-Schlüssel sind erforderlich, um die volle Funktionalität von Sooty zu nutzen. Es funktioniert jedoch auch ohne diese Schlüssel, nur ohne die zusätzliche Funktionalität. Links finden Sie unten:
  • VirusTotal-API-Schlüssel
  • URLScan.io-API-Schlüssel
  • AbuseIPDB-API-Schlüssel
  • HaveIBeenPwned-API-Schlüssel
  • PhishTank-API-Schlüssel
  • EMAILREP-API-Schlüssel
• Ersetzen Sie den entsprechenden Schlüssel in der example_config.yaml-Datei und benennen Sie die Datei in config.yaml um, Beispiel-Layout unten:
• Für PhishTank-Unterstützung ist auch ein eindeutiger App-Name als zusätzliches Feld erforderlich. Aktualisieren Sie einfach die config.yaml-Datei mit Ihrem eindeutigen Namen.

Start mit Docker

• docker build -t sooty . && docker run --rm -it sooty

Entwicklung

Möchten Sie beitragen? Großartig!

Code-Beiträge

• Wenn Sie an einer Funktion arbeiten möchten, hinterlassen Sie einen Kommentar auf der Issue-Seite, und ich werde Sie dieser zuweisen.
• Unter dem Reiter 'Projekte' finden Sie eine Liste von Funktionen, die darauf warten, begonnen/abgeschlossen zu werden.
• Alle Code-Modifikationen, Verbesserungen oder Ergänzungen müssen über einen Pull-Request erfolgen.
• Nach Überprüfung und Zusammenführung werden die Mitwirkenden zur ReadMe hinzugefügt.

Einen Fehler gefunden? Zeig ihn mir!

Fehler und Probleme

• Wenn ein Problem/Fehler gefunden wird, öffnen Sie bitte ein Ticket im Issue-Tracker und verwenden Sie die Fehlerbericht-Vorlage. Füllen Sie diese Vorlage aus und fügen Sie alle relevanten Informationen hinzu.
• Wenn Sie an einem bekannten Fehler arbeiten möchten, hinterlassen Sie einen Kommentar auf der Issue-Seite und öffnen Sie einen Pull-Request, um den Fortschritt zu verfolgen. Ich werde Sie diesem zuweisen.
• Wenn es ein Problem mit der Installation oder Nutzung gibt, verwenden Sie die bereitgestellte Vorlage, und ich werde so schnell wie möglich antworten.

Funktionen anfordern

• Neue Funktionen/Anfragen sollten durch das Öffnen eines Issues beginnen. Bitte verwenden Sie die dazugehörige Vorlage, wenn Sie ein neues Issue erstellen. Dies hilft, neue Funktionen zu verfolgen und Überschneidungen zu vermeiden. Fügen Sie bei Bedarf alle relevanten Informationen hinzu. Bevor Sie ein neues Issue erstellen, überprüfen Sie bitte den Projekte-Reiter, um zu sehen, ob dieses Issue bereits angefragt wurde, oder direkt mit den anderen offenen Issues.

Änderungsprotokoll

Version 1.3 – Das Vorlagen-Update

• Erste Iteration dynamischer E-Mail-Vorlagen hinzugefügt, die basierend auf der Analyse von Sooty generiert werden, Beispiel unten:
• Docker-Image hinzugefügt
• Unfurl hinzugefügt

Version 1.2 – Das Phishing-Update

• Erste Iteration des Phishing-Werkzeugs hinzugefügt.
• Kann eine E-Mail analysieren (bisher nur Outlook/.msg getestet) und E-Mails, URLs (ggf. Proofpoint-Decodierung) abrufen sowie Informationen aus Headern extrahieren.
• IP-Adressen aus dem E-Mail-Text extrahieren.
• Reputationsprüfung des E-Mail-Absenders und Bereitstellung angereicherter Informationen.

Version 1.1 – Das Reputations-Update

• Verbesserter Reputationsprüfer
• HaveIBeenPwned-Funktionalität hinzugefügt
• DNS-Werkzeuge und WhoIs-Funktionalität hinzugefügt
• Hash- und VirusTotal-Prüfer hinzugefügt
• Abuse IPDB, TOR-Ausgangsknoten, BadIPs zum Reputationsprüfer hinzugefügt

Version 1.0

• Erstveröffentlichung
• URL- und Proofpoint-Decoder
• Erste Implementierung des Reputationsprüfers
• Links für E-Mails bereinigen

Fahrplan

Dies ist eine Übersicht über die Funktionen, die in zukünftigen Versionen kommen werden.

Version 1.2 – Das Phishing-Update

• E-Mail-Anhänge auf schädliche Inhalte, Makros, Dateien, Hashes scannen usw.

Version 1.3 – Das Vorlagen-Update

• Dynamische E-Mail-Vorlagen hinzufügen, die basierend auf der Analyse von Sooty generiert werden. Bearbeitet: Hinzugefügt
• MX-Einträge überprüfen
• DKIM-Verifizierung durchführen

Version 1.4 – Das PCAP-Analyse-Update

• Fähigkeit hinzufügen, .pcap-Dateien zu analysieren und präzise, angereicherte Informationen bereitzustellen.

Version 1.x – Das Case-Update

• Eine 'Neuer Fall'-Funktion hinzufügen, die die Ausgabe des Tools in eine txt-Datei ausgibt.

Mitwirkende:

Code-Beiträge:

• Aaron J Copley für seine modifizierte Version von ProofPoint's code zum Decodieren von ProofPoint-URLs
• James Duarte zum Hinzufügen einer Hash- und automatischen Prüfoption zur Hash-Funktion
• mrpnkt zum Hinzufügen der fehlenden whois-Anforderung zu requirements.txt
• Gurulhu zum Hinzufügen des Base64-Decoders zum Decoder-Menü
• AndThenEnteredAlex zum Hinzufügen der URLScan-Funktion von URLScan.io
• Eric Kelson zum Beheben der pywin32-Anforderung, die auf Linux-Systemen nicht notwendig ist, in requirements.txt
• Jenetiks zum Entfernen und Aufräumen doppelter Importe, die sich im Laufe der Zeit angesammelt hatten, und zum Bereitstellen eines Umschalters zwischen öffentlichen und privaten Scans auf URLScan.io
• Nikosch86 zum Beheben eines Problems mit hexdigest, das einen Datei-Hash nicht korrekt speicherte
• Naveci für zahlreiche Fehlerbehebungen, QoL-Verbesserungen, Cisco-7-Passwort-Decodierung und Einführung eines Workflows zur Unterstützung bei zukünftigen Problemen. PhishTank-Unterstützung wurde ebenfalls hinzugefügt, sowie zusätzliche IP-Blacklists für den Reputationsprüfer.
• MrMeeseeks2014 zum Beheben eines Fehlers im Zusammenhang mit Hash-Uploads.
• mrn42 zum Hinzufügen von Docker-Unterstützung.
• Ryan Benson zum Hinzufügen von Unfurl-Unterstützung zum Decoder-Bereich.
• Nitin Mukesh identifizierte und behob einen Fehler mit der BadIPs-Reputationsabfrage und erstellte eine gespeicherte txt-Ausgabe der Sooty-Analyse.

Dokumentationsbeiträge:

• Danielf-5 für Verbesserungen der Lesbarkeit
• Paralax zum Beheben von Tippfehlern in der Readme.
• mrn42 zum Hinzufügen von Docker-Dokumentation zur Readme