Per iniziare

• Documentazione
• Installazione
• Repository dei plugin
• Documentazione dei plugin

Panoramica

stoQ è un framework di automazione che aiuta a semplificare i compiti noiosi e ripetitivi che un analista deve svolgere. Consente agli analisti e ai team DevSecOps di passare rapidamente tra diverse sorgenti dati, database, decodificatori/codificatori, e numerose altre attività utilizzando strutture dati arricchite e coerenti. stoQ è stato progettato per essere enterprise ready e scalabile, rimanendo al contempo abbastanza snello per singoli ricercatori di sicurezza.

Perché usare stoQ?

• Estremamente leggero e progettato pensando alla semplicità.
• Supporto completo di AsyncIO.
• Ampia gamma di plugin disponibili pubblicamente.
• stoQ non fa supposizioni sul tuo flusso di lavoro. Gli analisti decidono tutto, da dove provengono i dati, come vengono scansionati/decodificati/elaborati, fino a dove vengono salvati.
• Scalabile non solo in ambienti nativi/bare metal, ma anche utilizzando soluzioni come Kubernetes, AWS Lambda, Google Cloud Functions, Azure Functions e molte altre.
• Scritto per essere facilmente e rapidamente esteso. Ti serve solo un plugin.
• Può essere utilizzato in un ambiente enterprise o da singoli individui senza la necessità di infrastruttura client/server.
• Oltre il 95% del codice è coperto da test unitari.
• Tutte le funzioni core e i plugin sfruttano il typing e sono controllati al commit.
• Sviluppato attivamente dal 2011, open source dal 2015.
• Documentazione estesa e aggiornata.

Storia

stoQ è nato come una raccolta di script che ci aiutavano a risolvere problemi che incontravamo quotidianamente. Questi compiti, come l'analisi di una sessione SMTP, l'estrazione di allegati, la scansione con una moltitudine di strumenti personalizzati e open source, il salvataggio dei risultati e quindi l'analisi finale, occupavano una quantità crescente delle risorse del nostro team. Passavamo sempre più tempo semplicemente cercando di raccogliere e estrarre dati. Questo sottraeva risorse preziose alla nostra capacità di trovare e analizzare effettivamente gli avversari che prendevano di mira le nostre reti.

Ci siamo stancati di essere il criceto sulla ruota e abbiamo deciso di fare qualcosa al riguardo. Nel 2011, abbiamo iniziato lo sviluppo di un framework che non solo affrontasse il problema sopra descritto, ma ci permettesse anche di cambiare rapidamente il flusso dei dati e l'analisi automatizzata, di passare rapidamente a nuovi database per archiviare i risultati, e di essere semplicemente in grado di rispondere ai cambiamenti delle tattiche, tecniche e procedure (TTP) degli avversari.

La cosa più importante era creare uno strumento che ci permettesse di fare ciò che amiamo fare: difendere le reti da avversari determinati, focalizzati e implacabili.

Nel 2015, dopo che stoQ era stato maturato in molteplici reti operative su larga scala, abbiamo deciso di rilasciare il nostro lavoro come open source nella speranza di aiutare la più ampia comunità di difesa delle reti. Da allora, abbiamo costantemente migliorato stoQ grazie ai feedback e ai contributi della comunità di utenti di stoQ.