Detectree

Detectree è uno strumento di visualizzazione dei dati per i blue team. Fornisce una rappresentazione grafica dei dati di rilevamento, che consente a un analista di formulare opinioni quasi immediate sulla natura dell'attività sottostante e di comprendere le relazioni complesse tra i punti dati. In definitiva, questo può aiutare a ridurre i tempi di risposta, ridurre l'affaticamento da alert e facilitare la comunicazione tra gli analisti all'interno dei team.

Detectree è scritto in svelte e si basa sulla libreria javascript force-graph.

Per Iniziare

Per utilizzare Detectree nel tuo ambiente, i rilevamenti devono soddisfare un insieme minimo di proprietà. Nella tabella seguente puoi vedere quali campi devono essere inclusi in ogni rilevamento e quali sono opzionali.

Le mappature per ciascun campo sono definite nel file schema.yml; viene fornito un file di esempio schema.yml.example. Questo file definisce quali campi devono essere estratti dai dati nel backend e come vengono mappati internamente. In particolare, la parte di mappatura contiene la mappatura detectree a sinistra e la mappatura del backend a destra; dovrai popolare la mappatura in base al tuo ambiente.

Lo schema contiene anche la configurazione del backend; per elastic dovrebbe essere semplice, ma il significato dei vari campi è il seguente:

primaryId è l'identificatore univoco per l'endpoint. È ciò che viene utilizzato per recuperare i rilevamenti. timeField è il campo temporale utilizzato per limitare la query. source è il campo che identifica il tipo di rilevamento; nello schema di esempio è mappato a NewProcess, RegistryWrite, FileAccess e così via.

Successivamente, nelle mappings, il campo type identifica un rilevamento specifico; ad esempio, se il tuo backend supporta solo rilevamenti NewProcess (o qualunque sia il nome corrispondente), ti servirà una sola mappatura. Strettamente correlato a questo, il campo kind collega il tipo di rilevamento a quello di detectree. Ad esempio, se kind è file, la mappatura deve fornire un filePath che verrà utilizzato per disegnare un nodo di contesto.

Attualmente l'unico backend supportato è elastic, tuttavia dovrebbe essere banale creare un adattatore per qualsiasi nuovo backend. Consulta la sezione Aggiungere un nuovo backend per ulteriori informazioni.

Per distribuire l'applicazione nel tuo ambiente, devi installare le dipendenze richieste con npm install (oppure pnpm install o yarn). Dovrai quindi selezionare l'adattatore giusto per il tuo ambiente; segui questa guida per le informazioni più aggiornate.

Ad esempio, se vuoi usare node come backend, devi installare @sveltejs/adapter-node e modificare il tuo svelte.config.js sostituendo @sveltejs/adapter-auto con @sveltejs/adapter-node. Il progetto può quindi essere compilato con il seguente comando; l'output sarà nella cartella output.

npm run build

È possibile avviare un server di sviluppo con il seguente comando; questo consentirà di servire l'applicazione localmente.

npm run dev

# oppure avvia il server e apri l'app in una nuova scheda del browser
npm run dev -- --open

Un esempio di grafo può essere visto nella seguente schermata

Aggiungere un nuovo backend

Per supportare un nuovo backend, devi creare un file TypeScript dedicato nella cartella backend_adapters. Puoi usare quello elastic come modello; il nuovo modulo deve esporre una funzione di query che accetti come input gli stessi parametri di quella nel file elastic. Puoi quindi interrogare il backend scelto nel modo preferito. La funzione di query deve restituire un oggetto contenente i dati mappati secondo la mappatura definita nel file schema.yaml. Infine, affinché il backend venga selezionato correttamente, devi anche aggiungerlo nel seguente oggetto all'interno di draw_tree.ts; le chiavi dell'oggetto qui saranno anche il modo in cui il backend viene referenziato nel schema.yml

const backendTypes = {
	elastic: '../backend_adapters/elastic'
};