RITA (Real Intelligence Threat Analytics) no Jupyter Notebook

RITA é uma estrutura de código aberto para análise de tráfego de rede patrocinada pela Active Countermeasures

RITA-J é a implementação dos recursos do RITA em Jupyter Notebook. O objetivo é suportar todos os tipos de logs de Firewall/Proxy/DNS nos formatos CSV, TSV ou JSON, e facilitar a análise, a caça e a detecção de possíveis atividades C2 sem instalar hardware adicional e outros componentes para manter.

---

O conjunto de dados de exemplo foi compartilhado por Ali Alwashali (@ali_alwashali). Ele contém:

• Logs Zeek de arquivos PCAP do malware-traffic-analysis.net, de 2013 a 2021
• Alertas Suricata acionados pela análise do PCAP

Recursos

• Detecção de Beaconing: Procure sinais de comportamento de beaconing dentro e fora da sua rede
• Detecção de Túnel DNS Procure sinais de canais encobertos baseados em DNS (A FAZER)
• Verificação de Lista Negra: Consulte listas negras para procurar domínios e hosts suspeitos (A FAZER)
• Mais recursos serão adicionados

Requisitos

Logs de Firewall/Proxy nos formatos CSV ou JSON. Se os logs não forem parseados, o parsing é necessário antes da análise.
O(s) notebook(s) suporta(m) arquivos CSV. JSON requer mapeamento manual. Alguns recursos úteis para ler e analisar arquivos JSON:

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

Aquisição de Logs e Trabalhando com diferentes formatos de log

Há várias maneiras de adquirir logs.

• Lendo de SIEM / Banco de Dados / API
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• Exporte logs do SIEM em CSV/JSON
• Envie logs para um servidor/conector Syslog -> faça o parse -> exporte-os para um arquivo CSV/JSON
• Exporte logs diretamente para um arquivo e converta-os para CSV/JSON

Um exemplo para converter logs Fortinet:
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Conversor de logs CSV Fortinet

O script abaixo pode funcionar com todos os arquivos de log que usam registro de pares chave-valor.
https://github.com/N4SOC/fortilogcsv

Instalação

Será adicionado

Como Usar

Será adicionado