Jupyter Notebook における RITA (Real Intelligence Threat Analytics)

RITA は、Active Countermeasures が後援するネットワークトラフィック分析のためのオープンソースフレームワークです。

RITA-J は、Jupyter Notebook で RITA の機能を実装したものです。目標は、CSV、TSV、または JSON 形式のあらゆるタイプのファイアウォール/プロキシ/DNS ログをサポートし、追加のハードウェアや維持管理用の他のコンポーネントをインストールすることなく、潜在的な C2 アクティビティを簡単に分析、調査、検出できるようにすることです。

---

サンプルデータセットは Ali Alwashali（@ali_alwashali）から提供されました。内容は以下のとおりです。

• 2013 年から 2021 年までの malware-traffic-analysis.net PCAP ファイルからの Zeek ログ
• PCAP 分析によってトリガーされた Suricata アラート

機能

• ビーコン検出: ネットワーク内外のビーコン動作の兆候を検索します
• DNS トンネリング検出 DNS ベースの隠れチャネルの兆候を検索します（未実装）
• ブラックリストチェック: ブラックリストを照会して不審なドメインやホストを検索します（未実装）
• さらなる機能が追加される予定です

要件

CSV または JSON 形式のファイアウォール/プロキシログ。ログがパースされていない場合は、分析前にパースが必要です。
ノートブックは CSV ファイルをサポートしています。JSON には手動のマッピングが必要です。JSON ファイルの読み取りとパースに役立つリソースをいくつか紹介します：

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

ログの取得と さまざまなログ形式の操作

ログを取得するにはいくつかの方法があります。

• SIEM / DB / API からの読み取り
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• SIEM から CSV/JSON でログをエクスポート
• ログを Syslog サーバー/コネクタに送信 -> パース -> CSV/JSON ファイルにエクスポート
• ログを直接ファイルにエクスポートし、CSV/JSON に変換

Fortinet ログ変換の例：
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Fortinet CSV ログコンバーター

以下のスクリプトは、キーと値のペアでロギングを行うすべてのログファイルで動作する可能性があります。
https://github.com/N4SOC/fortilogcsv

インストール

追加予定

使用方法

追加予定