概要

Sootyは、SOCアナリストのワークフローの一部を自動化するために開発されたツールです。Sootyの目標の1つは、可能な限り多くのルーチンチェックを実行し、アナリストが同じ時間枠内でより深い分析に費やす時間を増やすことです。Sootyの多くの機能の詳細は以下をご覧ください。

Sootyは現在、Tines.comによってサポートされています！エンタープライズセキュリティチーム向けSOARプラットフォームです。

Sootyの現在の機能:

メールで安全に送信できるようにURLをサニタイズする
逆DNSおよびDNSルックアップを実行する
以下のサービスからレピュテーションチェックを実行する:
アドレスが悪意のある可能性があるか、スパムやWebボットに使用されているかを特定する:
IPアドレスがTOR出口ノードかどうかを確認する
Proofpoint URL、UTF-8エンコードされたURL、Office SafeLink URL、Base64文字列、Cisco7パスワードをデコードする
ファイルハッシュを取得し、VirusTotalと比較する（要件を参照）
WhoIsルックアップを実行する
ユーザー名とメールアドレスをHaveIBeenPwnedと照合して、情報漏洩が発生したかどうかを確認する（要件を参照）
メールの簡単な分析を実行して、URL、メールアドレス、ヘッダー情報を取得する
メールからIPアドレスを抽出する
外部サービスによって短縮されたURLを元のURLに戻す（1時間あたり10リクエストまで）
レピュテーションレポートのためにURLScan.ioにクエリを実行する
EmailRep.ioを利用して、既知の悪意のあるアクティビティについてメールアドレスを分析し、ドメインレピュテーションを報告する
フィッシングトリアージの応答のベースとして使用できる動的なメールテンプレートを作成する（.msgのみ、.emlは今後のアップデートで対応予定）
HaveIBeenPwnedデータベースを使用してフィッシングメールの分析エンリッチメントを実行し、メールアドレスが過去に漏洩したことがあるか、いつ発生したか、どこで漏洩したかを特定する（APIキーが必要）
URLをPhishTankに送信する（要件を参照）
UnfurlのCLIバージョンを介してURLをUnfurlする
現在利用可能なツールの完全なリストとレイアウトについては、以下を参照してください:

└── Main Menu
   ├── Sanitize URL's for use in emails
   |  └── URL Sanitizing Tool
   ├── Decoders
   |   ├── ProofPoint Decoder
   |   ├── URL Decoder
   |   ├── Office Safelinks Decoder
   |   ├── URL Unshortener
   |   ├── Base 64 Decoder
   |   ├── Cisco Password 7 Decoder
   |   └── Unfurl URL
   ├── Reputation Checker
   |   └── Reputation Checker for IP's, URL's or email addresses
   ├── DNS Tools
   |   ├── Reverse DNS Lookup
   |   ├── DNS Lookup
   |   └── WhoIs Lookup
   ├── Hashing Functions
   |   ├── Hash a File
   |   ├── Hash a Text Input
   |   ├── Check a hash for known malicious activity
   |   └── Hash a file and check for known malicious activity
   ├── Phishing Analysis
   |   ├── Analyze an Email
   |   ├── Analyze an email address for known malicious activity
   |   ├── Generate an email template based on analysis
   |   ├── Analyze a URL with Phishtank
   |   └── HaveIBeenPwned Lookup
   ├── URL Scan
   |   └── URLScan.io lookup
   ├── Extra's
   |   ├── About
   |   ├── Contributors
   |   ├── Version
   |   ├── Wiki
   |   └── Github Repo
   └── Exit

要件とインストール

Python 3.x
requirements.txtファイルからすべての依存関係をインストールしてください。 pip install -r requirements.txt
メインディレクトリに移動し、python Sooty.pyまたは単にSooty.pyを実行してツールを起動します。
Sootyの全機能を利用するには、いくつかのAPIキーが必要です。ただし、これらのキーがなくてもツールは動作しますが、追加機能は利用できません。リンクは以下のとおりです:
example_config.yamlファイル内の対応するキーを置き換え、ファイル名をconfig.yamlに変更します。レイアウト例は以下のとおりです:
PhishTankサポートには、追加フィールドとして一意のアプリ名も必要です。config.yamlファイルを一意の名前で更新してください。

Dockerで起動する

docker build -t sooty . && docker run --rm -it sooty

開発

貢献してみませんか？素晴らしい！

コードへの貢献

機能に取り組みたい場合は、Issueページにコメントを残してください。私がアサインします。
プロジェクトタブには、開始/完了待ちの機能のリストがあります。
すべてのコードの変更、拡張、追加はプルリクエストを通じて行う必要があります。
レビューとマージが完了したら、コントリビューターをReadMeに追加します。

バグを見つけましたか？教えてください！

バグと問題

問題/バグが見つかった場合は、Issueトラッカーでチケットを開き、バグレポートテンプレートを使用してください。テンプレートに記入し、関連する追加情報を含めてください。
既知のバグに取り組みたい場合は、Issueページにコメントを残し、プルリクエストを開いて進捗を追跡してください。私がアサインします。
インストールや使用に関する問題がある場合は、提供されたテンプレートを使用し、できるだけ早く対応します。

機能リクエスト

新しい機能/リクエストは、Issueを開くことから始めてください。新しいIssueを作成する際には、付属のテンプレートを使用してください。これにより、新しい機能の追跡が容易になり、重複を防ぐことができます。必要に応じて関連する追加情報を添付してください。新しいIssueを作成する前に、Projects TabでこのIssueが既にリクエストされていないか、または他のopen issuesで直接確認してください。

変更履歴

バージョン1.3 - テンプレートアップデート

Sootyの分析に基づいて生成される動的なメールテンプレートの初回イテレーションを追加。以下は例:
Dockerイメージを追加
Unfurlを追加

バージョン1.2 - フィッシングアップデート

フィッシングツールの初回イテレーションを追加。
メール（現時点ではOutlook/.msgのみテスト済み）を分析し、メールアドレス、URL（必要に応じてProofpointデコード）、ヘッダーから情報を抽出可能。
メール本文からIPアドレスを抽出。
メール送信者のレピュテーションチェックとエンリッチされた情報の提供。

Sooty

人気

概要

目次