RITA (Real Intelligence Threat Analytics)

Se trovi utile RITA e desideri fare un passo avanti con automazione della caccia, visualizzazioni futuristiche e arricchimento dei dati, dai un'occhiata a AC-Hunter.

Offerto da Active Countermeasures.

Sponsorizzato da BHIS.

RITA è un framework open source per l'analisi del traffico di rete.

Il framework acquisisce Zeek Logs in formato TSV o JSON e attualmente supporta le seguenti funzionalità principali:

• Rilevamento Beacon: Cerca segni di comportamento beacon in entrata e in uscita dalla tua rete
• Rilevamento Connessioni Lunghe: Visualizza facilmente connessioni che hanno comunicato per lunghi periodi
• Rilevamento Tunnel DNS: Cerca segni di canali nascosti basati su DNS
• Controllo Feed Threat Intel: Interroga feed di intelligence sulle minacce per cercare domini e host sospetti

Avvio Rapido

Consulta i nostri Requisiti di Sistema consigliati. RITA richiede Docker Engine con il plugin Compose.

1. Scarica il RITA Installer per la versione desiderata.

2. Decomprimi il file tar dell'installer.

   root@kitploit:~

   tar -xf rita-<version>-installer.tar.gz
   

3. Esegui lo script di installazione.

   root@kitploit:~

   ./rita-<version>-installer/install_rita.sh
   

Piattaforme Supportate

I seguenti sistemi operativi/versioni e architetture CPU sono supportati:

Installazione di Zeek

RITA richiede Zeek per generare log di rete. Se non hai già Zeek installato, installa docker-zeek ed esegui zeek start.

Importazione

Importa dati in RITA usando il comando import:

rita import --database=mydatabase --logs=~/mylogs

database è il nome che vuoi dare al dataset

logs è il percorso dei log Zeek che desideri importare

Per dataset che dovrebbero accumulare dati nel tempo, con log contenenti informazioni di rete aggiornate (meno di 24 ore), usa il flag --rolling durante la creazione e in ogni successiva importazione nel dataset. Il caso d'uso più comune è importare i log da un sensore Zeek tramite un cron job ogni ora.

Nota: Per dataset che contengono oltre 24 ore di log, ma hanno più di 24 ore, importa semplicemente la directory principale dell'insieme di log senza il flag --rolling. Importare questi log con il flag --rolling potrebbe portare a risultati errati.

Per distruggere e ricreare un dataset, usa il flag --rebuild.

Configurazione

Vedi Configurazione per dettagli sulla regolazione del punteggio.

Ricerca

RITA segue una sintassi di ricerca stile GitHub. Ogni campo segue il formato <campo>:<valore>, con ciascun criterio di ricerca separato da uno spazio. Per esempio:

src:192.168.88.2 dst:165.227.88.15 beacon:>=90 sort:duration-desc

Campi di Ricerca Supportati

Campi di Ordinamento Supportati

La sintassi di ordinamento è sort:<colonna>-<direzione ordinamento>, con direzione asc per ascendente o desc per discendente.

Colonne supportate:

• severity
• beacon
• duration
• subdomains

Output CSV

Per ottenere i risultati in CSV invece di visualizzarli nell'interfaccia terminale, passa il flag --stdout o -o al comando view:

Il flag deve essere prima del nome del dataset.

rita view --stdout mydataset

Supporto Colori dell'Interfaccia Terminale

L'interfaccia terminale (TUI) supporta l'output colorato per impostazione predefinita. Non è necessario abilitarlo.

Controlla il valore della variabile "$TERM", dovrebbe essere xterm-256color. Se non lo è, imposta questa variabile nella versione del tuo sistema operativo di ~/.bash_profile, ~/.profile, ecc.

A seconda del tema colore del tuo terminale, la TUI si adatterà a una modalità chiara o scura.

Se sei molto elegante e ti piacciono i colori vivaci, considera di usare il tema Catpuccin!