Yeti zielt darauf ab, die Lücke zwischen CTI- und DFIR-Praktikern zu schließen, indem es eine Forensics-Intelligence-Plattform und -Pipeline für DFIR-Teams bereitstellt. Es entstand aus der Frustration heraus, die Frage beantworten zu müssen: "Wo habe ich dieses Artefakt schon einmal gesehen?" oder "Wie durchsuche ich meine Timeline nach IOCs, die mit dieser Bedrohung (oder allen Bedrohungen?) zusammenhängen?"
Dokumentationslinks:
Was ist Yeti?
Kurz gesagt, Yeti ermöglicht Ihnen:
- Bulk-Suche nach Observablen und eine recht gute Einschätzung der Art der Bedrohung und wie man sie auf einem System findet.
- Umgekehrt können Sie sich auf eine Bedrohung konzentrieren und schnell alle TTPs, Malware und zugehörigen DFIR-Artefakte auflisten.
- Lassen Sie CTI-Analysten sich auf das Hinzufügen von Intelligence konzentrieren, anstatt sich um maschinenlesbare Exportformate zu kümmern.
- Integrieren Sie Ihre eigenen Datenquellen, Analysen und Logik sehr einfach.
Dies wird erreicht durch:
- Speicherung technischer und taktischer CTI (Observablen, TTPs, Kampagnen usw.) aus internen oder externen Systemen.
- Als Backend für DFIR-bezogene Abfragen: Yara-Signaturen, Sigma-Regeln, DFIQ.
- Bereitstellung einer Web-API zur Automatisierung von Abfragen (denken Sie an Incident-Management-Plattformen) und Anreicherung (denken Sie an Malware-Sandboxen).
- Exportieren der Daten in benutzerdefinierten Formaten, sodass sie von Drittanbieteranwendungen (SIEM, DFIR-Plattformen) aufgenommen werden können.
Einige Screenshots
