Jupyter Notebook의 RITA (Real Intelligence Threat Analytics)

RITA는 Active Countermeasures가 후원하는 오픈소스 네트워크 트래픽 분석 프레임워크입니다.

RITA-J은 Jupyter Notebook에서 RITA 기능을 구현한 것입니다. 목표는 CSV, TSV 또는 JSON 형식의 모든 종류의 방화벽/프록시/DNS 로그를 지원하고, 추가 하드웨어나 유지 관리할 다른 구성 요소를 설치하지 않고도 잠재적인 C2 활동을 쉽게 분석, 헌팅 및 탐지할 수 있게 하는 것입니다.

---

샘플 데이터셋은 Ali Alwashali (@ali_alwashali)님이 공유했습니다. 여기에는 다음이 포함됩니다:

• 2013년부터 2021년까지 malware-traffic-analysis.net PCAP 파일의 Zeek 로그
• PCAP 분석으로 트리거된 Suricata 경보

기능

• 비콘닝 탐지: 네트워크 내부 및 외부에서 비콘닝(beaconing) 동작의 징후를 검색합니다.
• DNS 터널링 탐지: DNS 기반 은닉 채널의 징후를 검색합니다 (할 일)
• 블랙리스트 확인: 의심스러운 도메인과 호스트를 검색하기 위해 블랙리스트를 조회합니다 (할 일)
• 더 많은 기능이 추가될 예정입니다

요구 사항

CSV 또는 JSON 형식의 방화벽/프록시 로그. 로그가 파싱되지 않은 경우 분석 전에 파싱이 필요합니다.
노트북은 CSV 파일을 지원합니다. JSON은 수동 매핑이 필요합니다. JSON 파일을 읽고 파싱하는 데 도움이 되는 몇 가지 리소스:

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

로그 확보 및 다양한 로그 형식 다루기

로그를 확보하는 방법은 여러 가지가 있습니다.

• SIEM / DB / API에서 읽기
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• SIEM에서 CSV/JSON으로 로그 내보내기
• 로그를 Syslog 서버/커넥터로 전송 -> 파싱 -> CSV/JSON 파일로 내보내기
• 로그를 파일로 직접 내보낸 후 CSV/JSON으로 변환

Fortinet 로그 변환 예시:
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Fortinet CSV 로그 변환기

아래 스크립트는 키-값 쌍 로깅을 사용하는 모든 로그 파일에서 작동할 수 있습니다.
https://github.com/N4SOC/fortilogcsv

설치

추가 예정

사용 방법

추가 예정