Qué hace

Una búsqueda no es un escaneo. Douglas recopila los artefactos que un analista recopilaría a mano — procesos, servicios, tareas programadas, autoruns, conexiones, cuentas, controladores, registros de eventos, cron, systemd, historial de shell, raíces web — y ejecuta 201 detecciones integradas sobre ellos, además de tus propias reglas Sigma, YARA y personalizadas.

Después hace las partes que la mayoría de las herramientas te dejan a ti: dice qué hallazgos aún necesitan una decisión, cuál de las sesenta direcciones externas mirar primero, y te permite hacer algo al respecto sin abrir una sesión RDP.

Por qué existe

Los entornos que más necesitan búsqueda de amenazas suelen ser los que no tienen un EDR: unos pocos servidores, sin presupuesto para agentes, y un incidente que comenzó hace tres días. La elección suele estar entre una plataforma comercial que nadie aprobó y una carpeta de scripts de PowerShell que alguien ejecuta a mano.

Douglas se sitúa entre ambos. No se instala nada en el host que estás investigando — el recopilador se ejecuta una vez y sale — y cada resultado llega a una sola consola que puedes entregar a quien retome el incidente después.

Triaje: qué aún necesita una decisión

Los hallazgos son fáciles de producir y costosos de leer. Esta pantalla existe para mantener la cola lo suficientemente corta como para que alguien siga leyéndola en la tercera pasada.

Tres resultados, y la diferencia entre ellos importa seis meses después:

Nunca se elimina nada. Retira una supresión y todo lo que ocultaba vuelve. Reglas más ruidosas está abajo porque ajustarlas despeja la cola más rápido que trabajarla hallazgo por hallazgo.

Detecciones que puedes leer, ajustar y desactivar

Las 201 detecciones están agrupadas en 15 categorías — desactivables una a una o toda una familia a la vez. Haz clic en cualquier regla para leer qué comprueba, cómo se activa legítimamente y qué hacer a continuación.

La distinción que la pantalla deja clara, porque equivocarse es común:

Desactivar una regla no es lo mismo que suprimirla. Desactivada significa que el recopilador nunca ejecuta la comprobación — no se produce nada y no hay nada que revisar. Una supresión registra el hallazgo y lo marca como una decisión que alguien tomó, con un motivo adjunto.

Usa desactivar para una familia de ruido que has aceptado. Usa supresión para un patrón específico en un host específico.

Un guion bajo Fired suele ser la respuesta saludable: DGL-014 solo se activa cuando un registro parece borrado. La lista es lo que la herramienta comprueba, no lo que está mal.

Escribe tus propias reglas, como texto

El formulario es más rápido para tu primera regla y más lento para la vigésima. Por eso las reglas también pueden escribirse como texto — verificadas mientras escribes, contra 11 tablas de artefactos y 13 operadores.

El cuadro de abajo cumple dos funciones. Cuando la regla es incorrecta, nombra la línea, no la regla:

Cuando es correcta, dice qué coincidirá realmente la regla — porque una regla que valida y luego coincide con algo distinto de lo que su autor pretendía es el fallo que vale la pena detectar:

Valid — ACME-001 Reads Services and matches when Signed is false and PathName does not contain 'Program Files' and PathName does not contain 'System32'

Importa y exporta en JSON, YAML o CSV. El ida y vuelta está garantizado — nuestra propia exportación pasa nuestro propio validador en los tres formatos.

Los feeds de indicadores y la reputación responden a preguntas distintas

Quince fuentes de feeds vienen listas para usar — Feodo, ThreatFox, URLhaus, TweetFeed, USOM, SSL Blacklist, Emerging Threats, OpenPhish, MISP — más un Feed personalizado que lee cualquier URL que devuelva datos con forma de indicador.

Cuatro proveedores de reputación: AbuseIPDB, VirusTotal, ThreatFox (niveles gratuitos) y GreyNoise (de pago, desactivado por defecto). Los veredictos nunca se combinan en un solo número — AbuseIPDB cuenta quejas, VirusTotal cuenta motores, ThreatFox conoce infraestructura, y un promedio de esos es una cifra que ninguno de ellos defendería. La insignia muestra el peor veredicto con el proveedor que lo dio.

Los niveles gratuitos están protegidos: resultados en caché 12 horas, 40 direcciones por ejecución, y un contador diario que se detiene antes que el proveedor. Las direcciones privadas nunca se envían.

Respuesta, desde la consola

Once acciones en tres grupos — mirar, actuar, contener. Las cinco de solo lectura se marcan de forma distinta a las seis que cambian el host, y cada acción que modifica requiere un motivo escrito.

El aislamiento mantiene la consola accesible a propósito: un host aislado de su propio agente no puede liberarse de forma remota, y alguien tendría que caminar hasta él. Los objetivos que romperían la máquina en lugar de contener la intrusión — lsass.exe, systemd, pid 1, Administrator, /bin/bash — se rechazan, no se advierten, porque el momento en que esto se usa es el momento en que nadie está leyendo las advertencias.

La salida vuelve como tarjetas estructuradas en lugar de un volcado de terminal, y las filas son accionables: una lista de procesos tiene un botón Kill por fila, una dirección tiene Reputation.

Sigma y YARA, en ambas plataformas

Las reglas Sigma de Linux cuya fuente de registro no puede leerse se rechazan al subirlas con un motivo, en lugar de cargarse y dejarse sin activarse nunca — un resultado vacío de una regla que no pudo ejecutarse se parece exactamente a un host limpio.

El agente de Linux comprueba si auditd está instalado, en ejecución, y tiene reglas cargadas, y luego dice qué falta y qué cuesta:

Envíalo donde la gente ya mira

Once destinos en tres grupos:

• SIEM — Wazuh/JSON, Splunk HEC, Microsoft Sentinel, Elasticsearch, QRadar LEEF, CEF, NDJSON
• Notificar — Slack, Microsoft Teams, PagerDuty
• Caso — TheHive

Los destinos de chat y paginación muestran una frase en lugar de un registro, y limitan cuántos hallazgos van en un solo mensaje: un canal en el que se pegan cien líneas es un canal que la gente silencia.

Inicio rápido

O con Docker:

Abre http://your-server:8000

Inicio de sesión por defecto

Usuario: admin Contraseña: douglas

La consola obliga a cambiar la contraseña en el primer inicio de sesión — una contraseña por defecto integrada en un paquete no debe sobrevivir sin que nadie se dé cuenta. Define DOUGLAS_CONSOLE_PASSWORD en .env antes del primer arranque si prefieres elegir la tuya.

.env solo se lee mientras la base de datos está vacía. Después del primer arranque, restablécelo con python3 -m app.manage passwd admin.

Al arrancar obtienes el token de enrolamiento para el siguiente paso:

Añadir un host

Deploy → elige la plataforma → copia un comando.

Windows — PowerShell con privilegios elevados:

Linux — como root:

Seis pasos se muestran en el terminal: descarga, enrolamiento, obtención del recopilador, instalación del servicio, confirmación de que está vivo, primer registro. Si el enrolamiento falla, no se instala nada, y lo dice.

Primera hora

Arquitectura

• No se instala nada en el host que se está investigando. El recopilador se ejecuta y sale; el agente es una tarea programada o una unidad systemd que extrae trabajo.
• La consola nunca se conecta hacia dentro. Los agentes consultan, así que un host detrás de NAT o un firewall unidireccional sigue funcionando.
• SQLite, un archivo. Sin broker, sin clúster, sin base de datos externa. Las migraciones de esquema se ejecutan al arrancar y solo añaden.

Notas de seguridad

• Cambio de contraseña forzado en el primer inicio de sesión; las cuentas se bloquean tras fallos repetidos.
• Las claves de sesión se generan en el primer arranque con permisos 0600 — una clave fija incluida en un paquete sería compartida por todos los que lo descargaran.
• Las acciones de respuesta están restringidas por rol, auditadas y rechazan objetivos que romperían el host.
• Las direcciones privadas nunca se envían a los proveedores de reputación.
• Las exportaciones de reglas neutralizan la inyección de fórmulas de hoja de cálculo.

📄 Informe técnico (PDF) — 14 páginas que cubren la arquitectura, cada pantalla de la consola, los 37 módulos del recopilador, el modelo de detección, las acciones de respuesta y el modelo de seguridad.

Licencia

Licenciado bajo la Licencia MIT. Consulta LICENSE.