RITA (Real Intelligence Threat Analytics) dans Jupyter Notebook

RITA est un framework open source pour l'analyse du trafic réseau sponsorisé par Active Countermeasures

RITA-J est l'implémentation des fonctionnalités de RITA dans Jupyter Notebook. L'objectif est de prendre en charge tous les types de journaux Firewall/Proxy/DNS au format CSV, TSV ou JSON, et de faciliter l'analyse, la recherche et la détection d'activités C2 potentielles sans installer de matériel supplémentaire ni d'autres composants à maintenir.

---

L'ensemble de données d'exemple a été partagé par Ali Alwashali (@ali_alwashali). Il contient :

• Les journaux Zeek issus des fichiers PCAP de malware-traffic-analysis.net, de 2013 à 2021
• Les alertes Suricata déclenchées par l'analyse des PCAP

Fonctionnalités

• Détection de Beaconing : Recherchez des signes de comportement de type beaconing à l'intérieur et à l'extérieur de votre réseau
• Détection de tunneling DNS : Recherchez des signes de canaux cachés basés sur DNS (À FAIRE)
• Vérification des listes noires : Interrogez les listes noires pour rechercher des domaines et des hôtes suspects (À FAIRE)
• D'autres fonctionnalités seront ajoutées

Prérequis

Journaux Firewall/Proxy au format CSV ou JSON. Si les journaux ne sont pas analysés, un parsing est nécessaire avant l'analyse.
Le(s) notebook(s) prend(ennent) en charge les fichiers CSV. Le JSON nécessite un mappage manuel. Quelques ressources utiles pour lire et analyser les fichiers JSON :

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

Acquisition des journaux et travail avec différents formats de journaux

Il existe plusieurs façons d'acquérir des journaux.

• Lecture depuis un SIEM / une base de données / une API
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• Export des journaux depuis un SIEM en CSV/JSON
• Envoi des journaux vers un serveur/connecteur Syslog -> parsing -> export vers un fichier CSV/JSON
• Export direct des journaux vers un fichier, puis conversion en CSV/JSON

Un exemple de conversion des journaux Fortinet :
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Convertisseur de journaux CSV Fortinet

Le script ci-dessous peut fonctionner avec tous les fichiers journaux qui utilisent la journalisation par paires clé-valeur.
https://github.com/N4SOC/fortilogcsv

Installation

Sera ajoutée

Comment l'utiliser

Sera ajouté