RITA（リアルインテリジェンス脅威分析）

RITAの価値を感じ、さらに自動ハンティング、未来志向の可視化、データエンリッチメントを進めたい場合は、AC-Hunterをご覧ください。

Active Countermeasures 提供。

BHIS スポンサー。

RITAは、ネットワークトラフィック分析のためのオープンソースフレームワークです。

このフレームワークは、TSVまたはJSON形式のZeekログを取り込み、現在以下の主要機能をサポートしています：

• ビーコン検出: ネットワーク内外のビーコン動作の兆候を検索
• 長時間接続検出: 長時間通信している接続を簡単に確認
• DNSトンネリング検出: DNSベースの隠れチャネルの兆候を検索
• 脅威インテリジェンスフィードチェック: 脅威インテリジェンスフィードをクエリして不審なドメインやホストを検索

クイックスタート

推奨するシステム要件をご確認ください。RITAにはComposeプラグインを含むDocker Engineが必要です。

1. 希望のバージョンのRITAインストーラーをダウンロードします。

2. インストーラーのtarファイルを解凍します。

   root@kitploit:~

   tar -xf rita-<version>-installer.tar.gz
   

3. インストールスクリプトを実行します。

   root@kitploit:~

   ./rita-<version>-installer/install_rita.sh
   

サポート対象プラットフォーム

以下のオペレーティングシステム/バージョンおよびCPUアーキテクチャがサポートされています：

Zeekのインストール

RITAはネットワークログを生成するためにZeekが必要です。まだZeekをインストールしていない場合は、docker-zeekをインストールし、zeek startを実行してください。

インポート

importコマンドを使用してRITAにデータをインポートします：

rita import --database=mydatabase --logs=~/mylogs

databaseはデータセットに付ける名前です

logsはインポートするZeekログへのパスです

時間の経過とともにデータを蓄積するデータセットで、ログに最新（24時間未満）のネットワーク情報が含まれている場合は、作成時および以降のインポートごとに --rolling フラグを使用します。これの最も一般的な使用例は、cronジョブで毎時間Zeekセンサーからログをインポートすることです。

注意：24時間以上のログを含むが、24時間以上経過したデータセットの場合は、--rolling フラグなしでログセットの最上位ディレクトリをインポートしてください。これらのログを --rolling フラグ付きでインポートすると、誤った結果になる可能性があります。

データセットを破棄して再作成するには、--rebuild フラグを使用します。

設定

スコアリングの調整の詳細については、設定を参照してください。

検索

RITAはGitHubスタイルの検索構文に従います。各フィールドは <フィールド>:<値> 形式で、各検索条件はスペースで区切られます。例：

src:192.168.88.2 dst:165.227.88.15 beacon:>=90 sort:duration-desc

サポート対象の検索フィールド

サポート対象の並べ替えフィールド

並べ替え構文は sort:<列>-<並べ替え方向> で、並べ替え方向は昇順が asc、降順が desc です。

サポート対象の列：

• severity
• beacon
• duration
• subdomains

CSV出力

結果をターミナルUI内で表示する代わりにCSVに出力するには、viewコマンドに --stdout または -o フラグを渡します：

フラグはデータセット名の前に指定する必要があります。

rita view --stdout mydataset

ターミナルUIのカラーサポート

ターミナルUI（TUI）はデフォルトでカラフルな出力をサポートしています。有効にする必要はありません。

"$TERM"変数の値を確認してください。xterm-256colorであるべきです。そうでない場合は、OSの~/.bash_profile、~/.profileなどでこの変数を設定してください。

ターミナルのカラーテーマに応じて、TUIはライトモードまたはダークモードに調整されます。

本当にこだわりがあり、きれいな色がお好みなら、Catpuccinテーマの使用を検討してください！