RITA (Inteligencia de Amenazas en Tiempo Real)

Si RITA te resulta útil y deseas ir un paso más allá con automatización de caza, visualizaciones futuristas y enriquecimiento de datos, echa un vistazo a AC-Hunter.

Presentado por Active Countermeasures.

Patrocinado por BHIS.

RITA es un marco de trabajo de código abierto para el análisis de tráfico de red.

El marco de trabajo ingiere registros de Zeek en formato TSV o JSON, y actualmente admite las siguientes características principales:

• Detección de balizamiento: Busca señales de comportamiento de balizamiento dentro y fuera de tu red
• Detección de conexiones largas: Visualiza fácilmente conexiones que han estado comunicándose durante largos períodos
• Detección de túneles DNS: Busca señales de canales encubiertos basados en DNS
• Verificación de fuentes de inteligencia de amenazas: Consulta fuentes de inteligencia de amenazas para buscar dominios y hosts sospechosos

Inicio rápido

Consulta nuestros requisitos del sistema recomendados. RITA requiere Docker Engine con el plugin Compose.

1. Descarga el instalador de RITA para la versión deseada.

2. Descomprime el archivo tar del instalador.

   root@kitploit:~

   tar -xf rita-<version>-installer.tar.gz
   

3. Ejecuta el script de instalación.

   root@kitploit:~

   ./rita-<version>-installer/install_rita.sh
   

Plataformas compatibles

Se admiten los siguientes sistemas operativos/versiones y arquitecturas de CPU:

Instalación de Zeek

RITA requiere Zeek para generar registros de red. Si aún no tienes Zeek instalado, instala docker-zeek y ejecuta zeek start.

Importación

Importa datos en RITA usando el comando import:

rita import --database=mydatabase --logs=~/mylogs

database es el nombre que deseas darle al conjunto de datos

logs es la ruta a los registros de Zeek que deseas importar

Para conjuntos de datos que deben acumular datos con el tiempo, con registros que contengan información de red actual (menos de 24 horas de antigüedad), usa la bandera --rolling durante la creación y en cada importación posterior al conjunto de datos. El caso de uso más común para esto es importar registros desde un sensor Zeek mediante una tarea cron cada hora.

Nota: Para conjuntos de datos que contienen más de 24 horas de registros pero tienen más de 24 horas de antigüedad, simplemente importa el directorio raíz del conjunto de registros sin la bandera --rolling. Importar estos registros con la bandera --rolling puede generar resultados incorrectos.

Para destruir y recrear un conjunto de datos, usa la bandera --rebuild.

Configuración

Consulta Configuración para obtener detalles sobre cómo ajustar la puntuación.

Búsqueda

RITA sigue una sintaxis de búsqueda al estilo de GitHub. Cada campo sigue el formato <campo>:<valor>, con cada criterio de búsqueda separado por un espacio. Por ejemplo:

src:192.168.88.2 dst:165.227.88.15 beacon:>=90 sort:duration-desc

Campos de búsqueda admitidos

Campos de ordenación admitidos

La sintaxis de ordenación es sort:<columna>-<dirección de ordenación>, siendo la dirección de ordenación asc para ascendente o desc para descendente.

Columnas admitidas:

• severity
• beacon
• duration
• subdomains

Salida CSV

Para generar los resultados en CSV en lugar de verlos en la interfaz de terminal, pasa la bandera --stdout o -o al comando view:

La bandera debe ir antes del nombre del conjunto de datos.

rita view --stdout mydataset

Soporte de color en la interfaz de terminal

La interfaz de terminal (TUI) admite salida a color por defecto. No necesita activarse.

Verifica el valor de la variable "$TERM", debe ser xterm-256color. Si no lo es, establece esta variable en la versión de tu sistema operativo de ~/.bash_profile, ~/.profile, etc.

Dependiendo del tema de color de tu terminal, la TUI se ajustará a un modo claro o a un modo oscuro.

Si eres muy elegante y te gustan los colores bonitos, ¡considera usar el tema Catpuccin!