thehive-project/cortexCortex: un Potente Motor de Análisis de Observables y Respuesta Activa
Cortex intenta resolver un problema común que enfrentan con frecuencia los SOC, CSIRT e investigadores de seguridad durante la inteligencia de amenazas, la informática forense digital y la respuesta a incidentes: ¿cómo analizar observables que han recopilado, a gran escala, consultando una sola herramienta en lugar de varias?
Cortex, un software de código abierto y gratuito, ha sido creado por TheHive Project precisamente para este propósito. Los observables, como direcciones IP y de correo electrónico, URL, nombres de dominio, archivos o hashes, pueden analizarse uno por uno o en modo masivo mediante una interfaz web. Los analistas también pueden automatizar estas operaciones gracias a la API REST de Cortex.
Al usar Cortex, no necesitarás reinventar la rueda cada vez que quieras utilizar un servicio o una herramienta para analizar un observable y ayudarte a investigar el caso en cuestión. Aprovecha uno de los varios analizadores que contiene y, si te falta una herramienta o un servicio, crea fácilmente un programa adecuado y ponlo a disposición de todo el equipo (o mejor aún, de toda la comunidad) gracias a Cortex.
Junto con MISP, Cortex es el compañero perfecto para TheHive. TheHive te permite analizar decenas o cientos de observables con unos pocos clics aprovechando una o varias instancias de Cortex, según tus necesidades de OPSEC y requisitos de rendimiento. Además, TheHive viene con un motor de plantillas de informes que te permite ajustar la salida de los analizadores de Cortex a tu gusto, en lugar de tener que crear tus propios parsers JSON para la salida de Cortex.
Cortex puede integrarse con MISP de dos maneras:
Para probar Cortex, puedes usar la máquina virtual de entrenamiento o instalarlo leyendo la Guía de instalación.
Cortex está escrito en Scala. El front-end usa AngularJS con Bootstrap. Su API REST es sin estado, lo que le permite ser horizontalmente escalable. Los analizadores proporcionados están escritos en Python. Se pueden escribir analizadores adicionales usando el mismo lenguaje o cualquier otro lenguaje compatible con Linux.
Gracias a Cortex, puedes analizar diferentes tipos de observables utilizando decenas de analizadores. A partir del 14 de abril de 2018, hay 39 analizadores disponibles públicamente. La mayoría de los analizadores vienen en diferentes variantes. Por ejemplo, usando el analizador VirusTotal, puedes enviar un archivo a VT o simplemente consultar el último informe disponible asociado a un archivo o un hash. La lista completa de analizadores, incluidas las variantes y los requisitos, se mantiene en la Guía de requisitos de los analizadores de Cortex.
Hemos puesto varias guías a disposición en el repositorio de documentación.
Cortex es un software de código abierto y gratuito publicado bajo la AGPL (Affero General Public License). Nosotros, TheHive Project, estamos comprometidos a asegurar que Cortex siga siendo un proyecto libre y de código abierto a largo plazo.
Información, noticias y actualizaciones se publican regularmente en la cuenta de Twitter de TheHive Project y en el blog.
Agradecemos tus contribuciones, especialmente nuevos analizadores que puedan aliviar la carga de los compañeros analistas sobrecargados de trabajo. No dudes en hacer fork del código, jugar con él, hacer algunos parches y enviarnos pull requests usando issues.
Contamos con un Código de conducta. Asegúrate de revisarlo antes de contribuir.
Por favor, abre un issue en GitHub si deseas reportar un bug o solicitar una funcionalidad.
Nota importante: si encuentras un problema con un analizador o deseas solicitar uno nuevo o una mejora a un analizador existente, por favor abre un issue en el repositorio de GitHub dedicado a los analizadores. Si tienes problemas con TheHive o deseas solicitar una funcionalidad relacionada con TheHive, por favor abre un issue en su repositorio de GitHub dedicado.
Alternativamente, si necesitas contactar al equipo del proyecto, envía un correo electrónico a [email protected].
