Ce qu'il fait

Une chasse n'est pas un scan. Douglas collecte les artefacts qu'un analyste collecterait à la main — processus, services, tâches planifiées, autoruns, connexions, comptes, pilotes, journaux d'événements, cron, systemd, historique du shell, racines web — et exécute 201 détections intégrées sur ceux-ci, plus vos propres règles Sigma, YARA et personnalisées.

Ensuite, il fait la partie que la plupart des outils vous laissent : il indique quels résultats nécessitent encore une décision, laquelle des soixante adresses externes examiner en premier, et vous permet d'agir sans ouvrir une session RDP.

Pourquoi il existe

Les parcs qui ont le plus besoin de chasse sont souvent ceux qui n'ont pas d'EDR : quelques dizaines de serveurs, pas de budget pour un agent, et un incident qui a commencé il y a trois jours. Le choix se fait généralement entre une plateforme commerciale que personne n'a validée et un dossier de scripts PowerShell que quelqu'un exécute à la main.

Douglas se situe entre les deux. Rien n'est installé sur l'hôte que vous investigatez — le collecteur s'exécute une fois et se termine — et chaque résultat atterrit dans une console unique que vous pouvez transmettre à la personne qui reprendra l'incident.

Triage : ce qui nécessite encore une décision

Les résultats sont faciles à produire et coûteux à lire. Cet écran existe pour garder la file suffisamment courte pour que quelqu'un la lise encore au troisième passage.

Trois issues, et la différence entre elles compte six mois plus tard :

Rien n'est jamais supprimé. Retirez une suppression et tout ce qu'elle masquait réapparaît. Règles les plus bruyantes se trouve en bas parce que les ajuster vide la file plus rapidement que de la parcourir résultat par résultat.

Des détections que vous pouvez lire, ajuster et désactiver

Les 201 détections sont regroupées en 15 catégories — activables une par une ou par famille entière. Cliquez sur n'importe quelle règle pour lire ce qu'elle vérifie, comment elle se déclenche légitimement, et quoi faire ensuite.

La distinction que l'écran précise, car se tromper est courant :

Désactiver une règle n'est pas la même chose que la supprimer. Désactivée signifie que le collecteur n'exécute jamais la vérification — rien n'est produit et il n'y a rien à examiner. Une suppression enregistre le résultat et le marque comme une décision prise par quelqu'un, avec une raison associée.

Utilisez désactivé pour une famille de bruit que vous avez acceptée. Utilisez suppression pour un motif spécifique sur un hôte spécifique.

Un tiret sous Déclenché est généralement la réponse saine : DGL-014 ne se déclenche que lorsqu'un journal semble effacé. La liste représente ce que l'outil vérifie, pas ce qui ne va pas.

Écrivez vos propres règles, sous forme de texte

Le formulaire est plus rapide pour votre première règle et plus lent pour votre vingtième. Les règles peuvent donc aussi être écrites sous forme de texte — vérifiées au fur et à mesure de la saisie, contre 11 tables d'artefacts et 13 opérateurs.

La zone en dessous remplit deux fonctions. Quand la règle est erronée, elle nomme la ligne, pas la règle :

Quand elle est correcte, elle indique ce que la règle va réellement correspondre — car une règle qui se valide puis correspond à autre chose que ce que son auteur voulait dire est l'échec qu'il vaut la peine d'attraper :

Valide — ACME-001 Lit Services et correspond lorsque Signed est faux et que PathName ne contient pas 'Program Files' et que PathName ne contient pas 'System32'

Import et export en JSON, YAML ou CSV. L'aller-retour est garanti — notre propre export passe notre propre validateur dans les trois formats.

Les flux d'indicateurs et la réputation répondent à des questions différentes

Quinze sources de flux sont fournies prêtes à l'emploi — Feodo, ThreatFox, URLhaus, TweetFeed, USOM, SSL Blacklist, Emerging Threats, OpenPhish, MISP — plus un flux personnalisé qui lit toute URL renvoyant des données en forme d'indicateur.

Quatre fournisseurs de réputation : AbuseIPDB, VirusTotal, ThreatFox (offres gratuites) et GreyNoise (payant, désactivé par défaut). Les verdicts ne sont jamais fusionnés en un seul chiffre — AbuseIPDB compte les plaintes, VirusTotal compte les moteurs, ThreatFox connaît l'infrastructure, et une moyenne de ceux-ci est un chiffre qu'aucun d'entre eux ne défendrait. Le badge affiche le pire verdict avec le fournisseur qui l'a donné.

Les offres gratuites sont protégées : résultats mis en cache 12 heures, 40 adresses par exécution, et un compteur quotidien qui s'arrête avant le fournisseur. Les adresses privées ne sont jamais envoyées.

Réponse, depuis la console

Onze actions en trois groupes — observer, agir, contenir. Les cinq en lecture seule sont marquées différemment des six qui modifient l'hôte, et chaque action mutante exige une raison écrite.

L'isolation maintient la console joignable à dessein : un hôte coupé de son propre agent ne peut pas être libéré à distance, et quelqu'un devrait s'y rendre physiquement. Les cibles qui casseraient la machine plutôt que de contenir l'intrusion — lsass.exe, systemd, pid 1, Administrator, /bin/bash — sont refusées, pas signalées par un avertissement, car le moment où cela est utilisé est le moment où personne ne lit les avertissements.

La sortie revient sous forme de cartes structurées plutôt que d'un vidage de terminal, et les lignes sont actionnables : une liste de processus a un bouton Tuer par ligne, une adresse a Réputation.

Sigma et YARA, sur les deux plateformes

Les règles Sigma Linux dont la source de journal ne peut pas être lue sont rejetées à l'import avec une raison, plutôt que chargées et laissées à ne jamais se déclencher — un résultat vide d'une règle qui n'a pas pu s'exécuter ressemble exactement à un hôte propre.

L'agent Linux vérifie si auditd est installé, en cours d'exécution, et a des règles chargées, puis indique ce qui manque et ce que cela coûte :

Envoyez-le là où les gens regardent déjà

Onze destinations en trois groupes :

• SIEM — Wazuh/JSON, Splunk HEC, Microsoft Sentinel, Elasticsearch, QRadar LEEF, CEF, NDJSON
• Notifier — Slack, Microsoft Teams, PagerDuty
• Cas — TheHive

Les destinations de chat et de pagination affichent une phrase plutôt qu'un enregistrement, et limitent le nombre de résultats dans un seul message : un canal dans lequel on colle une centaine de lignes est un canal que les gens mettent en sourdine.

Démarrage rapide

Ou avec Docker :

Ouvrez http://your-server:8000

Connexion par défaut

Nom d'utilisateur : admin Mot de passe : douglas

La console force un changement de mot de passe à la première connexion — un mot de passe par défaut intégré à un paquet ne doit pas survivre sans être remarqué. Définissez DOUGLAS_CONSOLE_PASSWORD dans .env avant le premier démarrage si vous préférez choisir le vôtre.

.env n'est lu que tant que la base de données est vide. Après le premier démarrage, réinitialisez avec python3 -m app.manage passwd admin.

Au démarrage, vous obtenez le jeton d'enrôlement pour l'étape suivante :

Ajouter un hôte

Déployer → choisir la plateforme → copier une commande.

Windows — PowerShell en mode administrateur :

Linux — en root :

Six étapes s'affichent en flux dans le terminal : téléchargement, enrôlement, récupération du collecteur, installation du service, confirmation qu'il est actif, premier point de contact. Si l'enrôlement échoue, rien n'est installé, et il le dit.

Première heure

Architecture

• Rien n'est installé sur l'hôte investigué. Le collecteur s'exécute et se termine ; l'agent est une tâche planifiée ou une unité systemd qui récupère le travail.
• La console ne se connecte jamais vers l'intérieur. Les agents interrogent, donc un hôte derrière un NAT ou un pare-feu unidirectionnel fonctionne quand même.
• SQLite, un seul fichier. Pas de broker, pas de cluster, pas de base de données externe. Les migrations de schéma s'exécutent au démarrage et ne font qu'ajouter.

Notes de sécurité

• Changement de mot de passe forcé à la première connexion ; les comptes se verrouillent après des échecs répétés.
• Les clés de session sont générées au premier démarrage avec des permissions 0600 — une clé fixe livrée dans un paquet serait partagée par tous ceux qui l'ont téléchargé.
• Les actions de réponse sont soumises à des rôles, auditées, et refusent les cibles qui casseraient l'hôte.
• Les adresses privées ne sont jamais envoyées aux fournisseurs de réputation.
• Les exports de règles neutralisent l'injection de formules dans les tableurs.

📄 Rapport technique (PDF) — 14 pages couvrant l'architecture, chaque écran de la console, les 37 modules du collecteur, le modèle de détection, les actions de réponse et le modèle de sécurité.

Licence

Sous licence MIT. Voir LICENSE.