Cosa fa

Una caccia non è una scansione. Douglas raccoglie gli artefatti che un analista raccoglierebbe a mano — processi, servizi, attività pianificate, autorun, connessioni, account, driver, log eventi, cron, systemd, cronologia shell, web root — ed esegue 201 detection integrate su di essi, più le tue regole Sigma, YARA e personalizzate.

Poi fa le parti che la maggior parte degli strumenti lascia a te: dice quali risultati richiedono ancora una decisione, quale dei sessanta indirizzi esterni guardare per primo, e ti permette di fare qualcosa al riguardo senza aprire una sessione RDP.

Perché esiste

Gli ambienti che hanno più bisogno di essere cacciati sono spesso quelli senza un EDR: qualche decina di server, nessun budget per agent e un incidente iniziato tre giorni fa. La scelta è di solito tra una piattaforma commerciale che nessuno ha approvato e una cartella di script PowerShell che qualcuno esegue a mano.

Douglas si colloca tra i due. Nulla viene installato sull'host che stai investigando — il collector viene eseguito una volta e termina — e ogni risultato finisce in un'unica console che puoi consegnare a chiunque riprenda in mano l'incidente successivamente.

Triage: cosa richiede ancora una decisione

I risultati sono facili da produrre e costosi da leggere. Questa schermata esiste per mantenere la coda abbastanza corta che qualcuno la stia ancora leggendo al terzo passaggio.

Tre esiti, e la differenza tra loro conta sei mesi dopo:

Nulla viene mai eliminato. Ritira una soppressione e tutto ciò che ha nascosto ritorna. Regole più rumorose si trova in fondo perché metterle a punto libera la coda più velocemente che lavorarla risultato per risultato.

Detection che puoi leggere, mettere a punto e disattivare

Tutte le 201 detection sono raggruppate in 15 categorie — disattivabili una alla volta o un'intera famiglia in una volta. Clicca su qualsiasi regola per leggere cosa verifica, come si attiva legittimamente e cosa fare dopo.

La distinzione che la schermata chiarisce, perché sbagliarla è comune:

Disattivare una regola non è la stessa cosa che sopprimerla. Disattivata significa che il collector non esegue mai il controllo — nulla viene prodotto e non c'è nulla da rivedere. Una soppressione registra il risultato e lo contrassegna come una decisione che qualcuno ha preso, con una motivazione allegata.

Usa disattivata per una famiglia di rumore che hai accettato. Usa soppressione per un pattern specifico su un host specifico.

Un trattino sotto Attivata è di solito la risposta sana: DGL-014 si attiva solo quando un log sembra cancellato. La lista è ciò che lo strumento verifica, non ciò che è sbagliato.

Scrivi le tue regole, come testo

Il modulo è più veloce per la tua prima regola e più lento per la ventesima. Quindi le regole possono anche essere scritte come testo — verificate mentre digiti, rispetto a 11 tabelle di artefatti e 13 operatori.

Il riquadro sottostante svolge due funzioni. Quando la regola è sbagliata indica la riga, non la regola:

Quando è corretta, dice cosa corrisponderà effettivamente la regola — perché una regola che si convalida e poi corrisponde a qualcosa di diverso da ciò che il suo autore intendeva è il fallimento che vale la pena cogliere:

Valida — ACME-001 Legge Services e corrisponde quando Signed è false e PathName non contiene 'Program Files' e PathName non contiene 'System32'

Importa ed esporta in JSON, YAML o CSV. Il round-trip è garantito — la nostra stessa esportazione supera il nostro stesso validatore in tutti e tre i formati.

I feed di indicatori e la reputazione rispondono a domande diverse

Quindici fonti di feed sono pronte all'uso — Feodo, ThreatFox, URLhaus, TweetFeed, USOM, SSL Blacklist, Emerging Threats, OpenPhish, MISP — più un Feed personalizzato che legge qualsiasi URL che restituisca dati a forma di indicatore.

Quattro provider di reputazione: AbuseIPDB, VirusTotal, ThreatFox (livelli gratuiti) e GreyNoise (a pagamento, disattivato per impostazione predefinita). I verdetti non vengono mai fusi in un unico numero — AbuseIPDB conta le segnalazioni, VirusTotal conta i motori, ThreatFox conosce l'infrastruttura, e una media di questi è una cifra che nessuno di loro difenderebbe. Il badge mostra il verdetto peggiore con il provider che l'ha fornito.

I livelli gratuiti sono protetti: risultati in cache per 12 ore, 40 indirizzi per esecuzione e un contatore giornaliero che si ferma prima del provider. Gli indirizzi privati non vengono mai inviati.

Risposta, dalla console

Undici azioni in tre gruppi — osserva, agisci, contieni. Le cinque di sola lettura sono contrassegnate diversamente dalle sei che modificano l'host, e ogni azione mutante richiede una motivazione scritta.

L'isolamento mantiene la console raggiungibile di proposito: un host tagliato fuori dal proprio agent non può essere rilasciato da remoto, e qualcuno dovrebbe camminare fino ad esso. I target che romperebbero la macchina invece di contenere l'intrusione — lsass.exe, systemd, pid 1, Administrator, /bin/bash — vengono rifiutati, non avvisati, perché il momento in cui questo viene usato è il momento in cui nessuno sta leggendo gli avvisi.

L'output ritorna come schede strutturate anziché come un dump del terminale, e le righe sono azionabili: una lista di processi ha un pulsante Kill per riga, un indirizzo ha Reputation.

Sigma e YARA, su entrambe le piattaforme

Le regole Sigma Linux la cui sorgente di log non può essere letta vengono rifiutate al caricamento con una motivazione, anziché caricate e lasciate non attivarsi mai — un risultato vuoto da una regola che non poteva essere eseguita appare esattamente come un host pulito.

L'agent Linux verifica se auditd è installato, in esecuzione e ha regole caricate, poi dice cosa manca e quanto costa:

Invia dove le persone già guardano

Undici destinazioni in tre gruppi:

• SIEM — Wazuh/JSON, Splunk HEC, Microsoft Sentinel, Elasticsearch, QRadar LEEF, CEF, NDJSON
• Notifica — Slack, Microsoft Teams, PagerDuty
• Case — TheHive

Le destinazioni di chat e paging mostrano una frase anziché un record, e limitano quanti risultati vanno in un singolo messaggio: un canale in cui vengono incollate cento righe è un canale che le persone silenziano.

Avvio rapido

Oppure con Docker:

Apri http://your-server:8000

Login predefinito

Username: admin Password: douglas

La console forza un cambio di password al primo accesso — un valore predefinito integrato in un pacchetto non deve sopravvivere inosservato. Imposta DOUGLAS_CONSOLE_PASSWORD in .env prima del primo avvio se preferisci scegliere la tua.

.env viene letto solo mentre il database è vuoto. Dopo il primo avvio, reimposta con python3 -m app.manage passwd admin.

All'avvio ottieni il token di registrazione per il passaggio successivo:

Aggiungere un host

Deploy → scegli la piattaforma → copia un comando.

Windows — PowerShell con privilegi elevati:

Linux — come root:

Sei passaggi scorrono nel terminale: download, registrazione, recupero del collector, installazione del servizio, conferma che è attivo, primo check-in. Se la registrazione fallisce, nulla viene installato, e lo dice.

Prima ora

Architettura

• Nulla viene installato sull'host in fase di indagine. Il collector viene eseguito e termina; l'agent è un'attività pianificata o un'unità systemd che recupera il lavoro.
• La console non si connette mai verso l'interno. Gli agent eseguono polling, quindi un host dietro NAT o un firewall unidirezionale funziona comunque.
• SQLite, un file. Nessun broker, nessun cluster, nessun database esterno. Le migrazioni dello schema vengono eseguite all'avvio e solo in aggiunta.

Note di sicurezza

• Cambio password forzato al primo accesso; gli account si bloccano dopo ripetuti fallimenti.
• Le chiavi di sessione vengono generate al primo avvio con permessi 0600 — una chiave fissa inclusa in un pacchetto sarebbe condivisa da tutti coloro che l'hanno scaricato.
• Le azioni di risposta sono soggette a ruoli, registrate e rifiutano target che romperebbero l'host.
• Gli indirizzi privati non vengono mai inviati ai provider di reputazione.
• Le esportazioni delle regole neutralizzano l'iniezione di formule nei fogli di calcolo.

📄 Technical Report (PDF) — 14 pagine che coprono l'architettura, ogni schermata della console, tutti i 37 moduli del collector, il modello di detection, le azioni di risposta e il modello di sicurezza.

Licenza

Concesso in licenza sotto la MIT License. Vedi LICENSE.