RITA (Real Intelligence Threat Analytics) en Jupyter Notebook

RITA es un framework de código abierto para el análisis de tráfico de red patrocinado por Active Countermeasures

RITA-J es la implementación de las características de RITA en Jupyter Notebook. El objetivo es admitir todos los tipos de registros de Firewall/Proxy/DNS que estén en formato CSV, TSV o JSON, y facilitar el análisis, la caza y la detección de posible actividad C2 sin necesidad de instalar hardware adicional ni otros componentes que mantener.

---

El conjunto de datos de muestra fue compartido por Ali Alwashali (@ali_alwashali). Contiene:

• Registros de Zeek de archivos PCAP de malware-traffic-analysis.net, desde 2013 hasta 2021
• Alertas de Suricata generadas por el análisis de los PCAP

Características

• Detección de Beaconing: Busque señales de comportamiento de beaconing dentro y fuera de su red
• Detección de Túneles DNS: Busque señales de canales encubiertos basados en DNS (PENDIENTE)
• Comprobación de Listas Negras: Consulte listas negras para buscar dominios y hosts sospechosos (PENDIENTE)
• Se añadirán más características

Requisitos

Registros de Firewall/Proxy que estén en formato CSV o JSON. Si los registros no están parseados, se requiere un parseo antes del análisis.
Los notebook(s) admiten archivos CSV. JSON requiere mapeo manual. Algunos recursos útiles para leer y analizar archivos JSON:

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

Adquisición de Registros y Trabajo con diferentes formatos de registro

Hay varias formas de adquirir registros.

• Leer desde SIEM / DB / API
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• Exportar registros desde SIEM en CSV/JSON
• Enviar registros a un servidor/conector Syslog -> parsear -> exportarlos a un archivo CSV/JSON
• Exportar registros directamente a un archivo y luego convertirlo a CSV/JSON

Un ejemplo de conversión de registros Fortinet:
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Convertidor de registros CSV de Fortinet

El script de abajo puede funcionar con todos los archivos de registro que utilizan el registro de pares clave-valor.
https://github.com/N4SOC/fortilogcsv

Instalación

Se añadirá

Cómo Usar

Se añadirá