inquest/python-inquestlabsUma interface Pythonic e ferramenta de linha de comando para interagir com a API do InQuest Labs.
Uma interface Pythonic e uma ferramenta de linha de comando para interagir com a API do InQuest Labs. Observe que uma chave de API não é necessária para interagir com esta API. Uma chave de API permite aumentar a janela de retrospectiva (lookback), remover limitações de taxa e baixar as amostras disponíveis. Os usuários podem entrar via OAuth para gerar chaves de API. Não há custo para entrar. A autenticação é suportada via LinkedIn, Twitter, Google e Github.
Documentação pesquisável da API com trechos em várias linguagens: https://labs.inquest.net/docs/
Especificação OpenAPI (Swagger): https://app.swaggerhub.com/apis-docs/InQuest.net/InQuestLabs/1.0
A maneira recomendada de instalar a CLI da API do InQuest Labs é usando pipx. Isso instala o pacote e todas as dependências em um ambiente virtual isolado que pode ser invocado facilmente.
pipx install inquestlabs
Alternativamente, ou nos casos em que você deseja usar o inquestlabs como uma biblioteca, você pode instalá-lo usando pip.
pip install inquestlabs
Para ver as ferramentas e opções de linha de comando disponíveis, veja a saída de inquestlabs --help. Será algo assim:
InQuest Labs Command Line Driver
Usage:
inquestlabs [options] dfi list
inquestlabs [options] dfi details <sha256> [--attributes]
inquestlabs [options] dfi download <sha256> <path> [--encrypt]
inquestlabs [options] dfi attributes <sha256> [--filter=<filter>]
inquestlabs [options] dfi search (code|context|metadata|ocr) <keyword>
inquestlabs [options] dfi search (md5|sha1|sha256|sha512) <hash>
inquestlabs [options] dfi search (domain|email|filename|filepath|ip|registry|url|xmpid) <ioc>
inquestlabs [options] dfi sources
inquestlabs [options] dfi upload <path>
inquestlabs [options] iocdb list
inquestlabs [options] iocdb search <keyword>
inquestlabs [options] iocdb sources
inquestlabs [options] repdb list
inquestlabs [options] repdb search <keyword>
inquestlabs [options] repdb sources
inquestlabs [options] yara (b64re|base64re) <regex> [(--big-endian|--little-endian)]
inquestlabs [options] yara hexcase <instring>
inquestlabs [options] yara uint <instring> [--offset=<offset>] [--hex]
inquestlabs [options] yara widere <regex> [(--big-endian|--little-endian)]
inquestlabs [options] yara cidr <ipv4>
inquestlabs [options] lookup ip <ioc>
inquestlabs [options] lookup domain <ioc>
inquestlabs [options] report <ioc>
inquestlabs [options] stats
inquestlabs [options] setup <apikey>
inquestlabs [options] trystero list-days
inquestlabs [options] trystero list-samples <yyyy-mm-dd>
Options:
--attributes Include attributes with DFI record.
--api=<apikey> Specify an API key.
--big-endian Toggle big endian.
--config=<config> Configuration file with API key [default: ~/.iqlabskey].
--debug Docopt debugging.
--encrypt Zip sample with password 'infected' before downloading.
--filter=<filter> Filter by attributes type (domain, email, filename, filepath, ip, registry, url, xmpid)
-h --help Show this screen.
--hex Treat <instring> as hex bytes.
-l --limits Show remaining API credits and limit reset window.
--little-endian Toggle little endian.
--offset=<offset> Specify an offset other than 0 for the trigger.
--proxy=<proxy> Intermediate proxy
--timeout=<timeout> Maximum amount of time to wait for IOC report.
--verbose=<level> Verbosity level, outputs to stderr [default: 0].
--version Show version.
Os seguintes projetos de terceiros se integram ao InQuest Labs:
Entre em contato ou abra um pull request para ter seu projeto listado.
A grande maioria dos ataques (>90%) é originada por e-mail. O "Trystero Project" é nosso codinome para um experimento que estamos conduzindo ativamente para medir a eficácia de segurança dos dois maiores provedores de e-mail, Google e Microsoft, contra malware emergente do mundo real. A ideia básica é esta... vamos pegar ameaças reais diariamente e colocá-las em loop através dos dois provedores de e-mail em nuvem mais populares, Google e Microsoft. Vamos monitorar quais amostras chegam à caixa de entrada e comparar os resultados ao longo do tempo. Você pode ler mais, ver gráficos, explorar dados e comparar resultados em InQuest Labs: Trystero Project. Se você tiver curiosidade de explorar melhor o corpus de testes, veja as duas opções de linha de comando a seguir:
Para obter uma lista dos dias em que executamos o Trystero Project e o número de amostras coletadas para cada dia. Observe que first_record denota o registro mais antigo (2020-08-09).