Sistema di Investigazione per la Risposta agli Incidenti
Versione corrente v2.4.20
Dimostrazione Online

IRIS

Iris è una piattaforma web collaborativa che mira ad aiutare i responder agli incidenti a condividere dettagli tecnici durante le investigazioni.

Indice

• Iniziare
  • Eseguire IrisWeb
  • Configurazione
• Versionamento
• Presentazione
• Documentazione
  • Aggiornamenti
  • API
• Aiuto
• Considerazioni
• Licenza

Iniziare

È diviso in due parti principali: IrisWeb e IrisModules.

• IrisWeb è l'applicazione web che contiene il nucleo di Iris (interfaccia web, gestione del database, ecc.).
• IrisModules sono estensioni del nucleo che consentono a terze parti di elaborare dati tramite Iris (ad es. arricchire gli IOC con MISP e VT, caricare e iniettare EVTX in Splunk).

IrisWeb può funzionare senza alcun modulo, anche se quelli predefiniti sono preinstallati. Vai su Manage > Modules nell'interfaccia utente per configurarli e abilitarli.

Esecuzione di Iris

Per facilitare l'installazione e gli aggiornamenti, Iris viene fornito in contenitori Docker. Grazie a Docker Compose, può essere pronto in pochi minuti.

#  Clone the iris-web repository
git clone https://github.com/dfir-iris/iris-web.git
cd iris-web

# Checkout to the last tagged version 
git checkout v2.4.20
# Copy the environment file 
cp .env.model .env

# Pull the dockers
docker compose pull

# Run IRIS 
docker compose up

Iris sarà disponibile sull'interfaccia host, porta 443, protocollo HTTPS - https://<your_instance_ip>.
Per impostazione predefinita, viene creato un account administrator. La password viene stampata su stdout la prima volta che Iris viene avviato. Non verrà più stampata dopo.
WARNING :: post_init :: create_safe_admin :: >>> può essere cercato nei log del docker webapp per trovare la password.
La password iniziale può essere impostata tramite la configurazione.

Iris è suddiviso in 5 servizi Docker, ciascuno con un ruolo diverso.

• app: Il nucleo, che include server web, gestione DB, gestione moduli, ecc.
• db: Un database PostgreSQL
• RabbitMQ: Un motore RabbitMQ per gestire la coda e l'elaborazione dei lavori
• worker: Gestore dei lavori che si basa su RabbitMQ
• nginx: Un proxy inverso NGINX

Configurazione

Ci sono tre diverse opzioni per configurare le impostazioni e le credenziali: Azure Key Vault, Variabili d'Ambiente e File di Configurazione. Questo è anche l'ordine di priorità: se un'impostazione non è impostata, si ricade sull'opzione successiva. Per tutte le opzioni di configurazione disponibili, consultare la configurazione.

Versionamento

A partire dalla versione 2.0.0, Iris segue le linee guida del Semantic Versioning 2.0.
Il codice pronto per la produzione è sempre taggato con un numero di versione. Le versioni alpha e beta non sono pronte per la produzione.

Non utilizzare il ramo master in produzione.

Presentazione

Puoi provare Iris direttamente sulla nostra istanza demo.
Si può anche andare ai tutorial, abbiamo inserito alcuni video.

Documentazione

Una documentazione completa è disponibile su docs.dfir-iris.org.

Aggiornamenti

Si prega di leggere le note di rilascio quando si aggiornano le versioni. La maggior parte delle volte le migrazioni vengono gestite automaticamente, ma alcuni cambiamenti potrebbero richiedere un lavoro manuale a seconda della versione.

API

Il riferimento API è disponibile nella documentazione o nel repository della documentazione.

Aiuto

Puoi contattarci su Discord o via email per qualsiasi domanda, problema o idea!
Siamo anche su Twitter e Matrix.

Considerazioni

Iris è ancora in una fase iniziale. Può già essere utilizzato in produzione, ma si prega di impostare backup del database e di NON esporre l'interfaccia su Internet. Raccomandiamo vivamente di utilizzare una rete privata dedicata e sicura.

Licenza

I contenuti di questo repository sono disponibili sotto licenza LGPL3.

Sponsorizzazioni

Un ringraziamento speciale a Deutsche Telekom Security GmbH per averci sponsorizzato!