Yeti tiene como objetivo cerrar la brecha entre los profesionales de CTI y DFIR al proporcionar una plataforma de inteligencia forense y un pipeline para equipos de DFIR. Nació de la frustración de tener que responder a la pregunta "¿dónde he visto este artefacto antes?" o "¿cómo busco IOCs relacionados con esta amenaza (o todas las amenazas?) en mi línea de tiempo?"
Enlaces de documentación:
¿Qué es Yeti?
En pocas palabras, Yeti te permite:
- Buscar observables de forma masiva y obtener una muy buena estimación de la naturaleza de la amenaza, y cómo encontrarla en un sistema.
- Inversamente, centrarse en una amenaza y listar rápidamente todos los TTPs, malware y artefactos DFIR relacionados.
- Permitir que los analistas de CTI se centren en agregar inteligencia en lugar de preocuparse por formatos de exportación legibles por máquina.
- Incorporar tus propias fuentes de datos, análisis y lógica con mucha facilidad.
Esto se logra mediante:
- Almacenando CTI técnica y táctica (observables, TTPs, campañas, etc.) de sistemas internos o externos.
- Sirviendo como backend para consultas relacionadas con DFIR: firmas Yara, reglas Sigma, DFIQ.
- Proporcionando una API web para automatizar consultas (piensa en una plataforma de gestión de incidentes) y enriquecimiento (piensa en un sandbox de malware).
- Exportar los datos en formatos definidos por el usuario para que puedan ser ingeridos por aplicaciones de terceros (SIEM, plataformas DFIR).
Algunas capturas de pantalla
