RITA (Real Intelligence Threat Analytics) in Jupyter Notebook

RITA एक ओपन सोर्स फ्रेमवर्क है जो नेटवर्क ट्रैफ़िक विश्लेषण के लिए है, जिसे Active Countermeasures द्वारा प्रायोजित किया गया है।

RITA-J Jupyter Notebook में RITA सुविधाओं का कार्यान्वयन है। इसका लक्ष्य CSV, TSV, या JSON प्रारूप में सभी प्रकार के Firewall/Proxy/DNS लॉग को सपोर्ट करना है, और बिना अतिरिक्त हार्डवेयर और अन्य घटकों को इंस्टॉल किए बिना संभावित C2 गतिविधि का विश्लेषण, खोज और पहचान करना आसान बनाना है।

---

नमूना डेटासेट Ali Alwashali (@ali_alwashali) द्वारा साझा किया गया था। इसमें शामिल है:

• malware-traffic-analysis.net PCAP फ़ाइलों से Zeek लॉग, 2013 से 2021 तक
• PCAP विश्लेषण से ट्रिगर हुए Suricata अलर्ट

विशेषताएँ

• Beaconing Detection: अपने नेटवर्क के अंदर और बाहर बीकनिंग व्यवहार के संकेत खोजें
• DNS Tunneling Detection DNS आधारित गुप्त चैनलों के संकेत खोजें (TO DO)
• Blacklist Checking: संदिग्ध डोमेन और होस्ट खोजने के लिए ब्लैकलिस्ट क्वेरी करें (TO DO)
• और अधिक सुविधाएँ जोड़ी जाएँगी

आवश्यकताएँ

Firewall/Proxy लॉग जो CSV या JSON प्रारूप में हों। यदि लॉग पार्स नहीं किए गए हैं, तो विश्लेषण से पहले पार्सिंग आवश्यक है।
नोटबुक CSV फ़ाइलों का समर्थन करती हैं। JSON के लिए मैन्युअल मैपिंग की आवश्यकता होती है। JSON फ़ाइलों को पढ़ने और पार्स करने के लिए कुछ सहायक संसाधन:

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

लॉग प्राप्त करना और विभिन्न लॉग प्रारूपों के साथ कार्य करना

लॉग प्राप्त करने के कई तरीके हैं।

• SIEM / DB / API से पढ़ना
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• SIEM से लॉग को CSV/JSON में निर्यात करें
• लॉग को Syslog सर्वर/कनेक्टर पर भेजें -> पार्स करें -> इसे CSV/JSON फ़ाइल में निर्यात करें
• लॉग को सीधे एक फ़ाइल में निर्यात करें, फिर इसे CSV/JSON में बदलें

Fortinet लॉग को परिवर्तित करने का एक उदाहरण:
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Fortinet CSV लॉग कनवर्टर

नीचे दी गई स्क्रिप्ट उन सभी लॉग फ़ाइलों के साथ काम कर सकती है जो key-value pair लॉगिंग का उपयोग करती हैं।
https://github.com/N4SOC/fortilogcsv

इंस्टॉल करें

जल्द ही जोड़ा जाएगा

उपयोग कैसे करें

जल्द ही जोड़ा जाएगा