概要
Sootyは、SOCアナリストのワークフローの一部を自動化するために開発されたツールです。Sootyの目標の1つは、可能な限り多くのルーチンチェックを実行し、アナリストが同じ時間枠内でより深い分析に費やす時間を増やすことです。Sootyの多くの機能の詳細は以下をご覧ください。
Sootyは現在、Tines.comによってサポートされています！エンタープライズセキュリティチーム向けSOARプラットフォームです。
目次
Sootyの現在の機能:
- メールで安全に送信できるようにURLをサニタイズする
- 逆DNSおよびDNSルックアップを実行する
- 以下のサービスからレピュテーションチェックを実行する:
- アドレスが悪意のある可能性があるか、スパムやWebボットに使用されているかを特定する:
- IPアドレスがTOR出口ノードかどうかを確認する
- Proofpoint URL、UTF-8エンコードされたURL、Office SafeLink URL、Base64文字列、Cisco7パスワードをデコードする
- ファイルハッシュを取得し、VirusTotalと比較する（要件を参照）
- WhoIsルックアップを実行する
- ユーザー名とメールアドレスをHaveIBeenPwnedと照合して、情報漏洩が発生したかどうかを確認する（要件を参照）
- メールの簡単な分析を実行して、URL、メールアドレス、ヘッダー情報を取得する
- メールからIPアドレスを抽出する
- 外部サービスによって短縮されたURLを元のURLに戻す（1時間あたり10リクエストまで）
- レピュテーションレポートのためにURLScan.ioにクエリを実行する
- EmailRep.ioを利用して、既知の悪意のあるアクティビティについてメールアドレスを分析し、ドメインレピュテーションを報告する
- フィッシングトリアージの応答のベースとして使用できる動的なメールテンプレートを作成する（.msgのみ、.emlは今後のアップデートで対応予定）
- HaveIBeenPwnedデータベースを使用してフィッシングメールの分析エンリッチメントを実行し、メールアドレスが過去に漏洩したことがあるか、いつ発生したか、どこで漏洩したかを特定する（APIキーが必要）
- URLをPhishTankに送信する（要件を参照）
- UnfurlのCLIバージョンを介してURLをUnfurlする
- 現在利用可能なツールの完全なリストとレイアウトについては、以下を参照してください:
└── Main Menu
├── Sanitize URL's for use in emails
| └── URL Sanitizing Tool
├── Decoders
| ├── ProofPoint Decoder
| ├── URL Decoder
| ├── Office Safelinks Decoder
| ├── URL Unshortener
| ├── Base 64 Decoder
| ├── Cisco Password 7 Decoder
| └── Unfurl URL
├── Reputation Checker
| └── Reputation Checker for IP's, URL's or email addresses
├── DNS Tools
| ├── Reverse DNS Lookup
| ├── DNS Lookup
| └── WhoIs Lookup
├── Hashing Functions
| ├── Hash a File
| ├── Hash a Text Input
| ├── Check a hash for known malicious activity
| └── Hash a file and check for known malicious activity
├── Phishing Analysis
| ├── Analyze an Email
| ├── Analyze an email address for known malicious activity
| ├── Generate an email template based on analysis
| ├── Analyze a URL with Phishtank
| └── HaveIBeenPwned Lookup
├── URL Scan
| └── URLScan.io lookup
├── Extra's
| ├── About
| ├── Contributors
| ├── Version
| ├── Wiki
| └── Github Repo
└── Exit
要件とインストール
- Python 3.x
- requirements.txtファイルからすべての依存関係をインストールしてください。
pip install -r requirements.txt
- メインディレクトリに移動し、
python Sooty.pyまたは単にSooty.pyを実行してツールを起動します。
- Sootyの全機能を利用するには、いくつかのAPIキーが必要です。ただし、これらのキーがなくてもツールは動作しますが、追加機能は利用できません。リンクは以下のとおりです:
example_config.yamlファイル内の対応するキーを置き換え、ファイル名をconfig.yamlに変更します。レイアウト例は以下のとおりです:- PhishTankサポートには、追加フィールドとして一意のアプリ名も必要です。
config.yamlファイルを一意の名前で更新してください。
Dockerで起動する
- docker build -t sooty . && docker run --rm -it sooty
開発
貢献してみませんか？素晴らしい！
コードへの貢献
- 機能に取り組みたい場合は、Issueページにコメントを残してください。私がアサインします。
- プロジェクトタブには、開始/完了待ちの機能のリストがあります。
- すべてのコードの変更、拡張、追加はプルリクエストを通じて行う必要があります。
- レビューとマージが完了したら、コントリビューターをReadMeに追加します。
バグを見つけましたか？教えてください！
バグと問題
- 問題/バグが見つかった場合は、Issueトラッカーでチケットを開き、バグレポートテンプレートを使用してください。テンプレートに記入し、関連する追加情報を含めてください。
- 既知のバグに取り組みたい場合は、Issueページにコメントを残し、プルリクエストを開いて進捗を追跡してください。私がアサインします。
- インストールや使用に関する問題がある場合は、提供されたテンプレートを使用し、できるだけ早く対応します。
機能リクエスト
- 新しい機能/リクエストは、Issueを開くことから始めてください。新しいIssueを作成する際には、付属のテンプレートを使用してください。これにより、新しい機能の追跡が容易になり、重複を防ぐことができます。必要に応じて関連する追加情報を添付してください。新しいIssueを作成する前に、Projects TabでこのIssueが既にリクエストされていないか、または他のopen issuesで直接確認してください。
変更履歴
バージョン1.3 - テンプレートアップデート
- Sootyの分析に基づいて生成される動的なメールテンプレートの初回イテレーションを追加。以下は例:
- Dockerイメージを追加
- Unfurlを追加
バージョン1.2 - フィッシングアップデート
- フィッシングツールの初回イテレーションを追加。
- メール（現時点ではOutlook/.msgのみテスト済み）を分析し、メールアドレス、URL（必要に応じてProofpointデコード）、ヘッダーから情報を抽出可能。
- メール本文からIPアドレスを抽出。
- メール送信者のレピュテーションチェックとエンリッチされた情報の提供。
バージョン1.1 - レピュテーションアップデート
- Rep Checkerの改善
- HaveIBeenPwned機能を追加
- DNSツールとWhoIs機能を追加
- ハッシュとVirusTotalチェッカーを追加
- Abuse IPDB、TOR出口ノード、BadIP'sをReputation Checkerに追加
バージョン1.0
- 初回リリース
- URLおよびProofPointデコーダ
- Reputation Checkerの初期実装
- メールで安全に使用できるようにリンクをサニタイズ
ロードマップ
これは、今後のバージョンで追加される機能の概要です。
バージョン1.2 - The Phishing Update
- メール添付ファイルの悪意のあるコンテンツ、マクロ、ファイル、ハッシュスキャンなどをスキャン
バージョン1.3 - The Templating Update
Sootyの分析に基づいて生成される動的なメールテンプレートを追加 編集: 追加済み- MXレコードの確認
- DKIM検証の実行
バージョン1.4 - PCAP分析アップデート
- .pcapファイルを分析し、簡潔でエンリッチされた情報を提供する機能を追加
バージョン1.x - ケースアップデート
- 「新規ケース」機能を追加し、ツールの出力をテキストファイルに出力可能にする
コントリビューター:
コード貢献:
ドキュメント貢献:
theresafewconors/sooty
