RITA (Real Intelligence Threat Analytics)

Если вы находите RITA полезным и хотите сделать шаг вперёд с автоматизацией охоты, футуристическими визуализациями и обогащением данных, обратите внимание на AC-Hunter.

Предоставлено Active Countermeasures.

При поддержке BHIS.

RITA — это открытая платформа для анализа сетевого трафика.

Платформа обрабатывает логи Zeek в форматах TSV или JSON и в настоящее время поддерживает следующие основные возможности:

• Обнаружение маяков: Поиск признаков поведения маяков внутри и за пределами вашей сети
• Обнаружение длительных соединений: Легко просматривайте соединения, которые общались в течение длительного времени
• Обнаружение DNS-туннелирования: Поиск признаков скрытых каналов на основе DNS
• Проверка по индикаторам угроз: Запрос к фидам индикаторов угроз для поиска подозрительных доменов и хостов

Быстрый старт

Пожалуйста, ознакомьтесь с нашими рекомендуемыми системными требованиями. RITA требует Docker Engine с плагином Compose.

1. Загрузите установщик RITA для нужной версии.

2. Распакуйте tar-архив установщика.

   root@kitploit:~

   tar -xf rita-<version>-installer.tar.gz
   

3. Запустите скрипт установки.

   root@kitploit:~

   ./rita-<version>-installer/install_rita.sh
   

Поддерживаемые платформы

Поддерживаются следующие операционные системы/версии и архитектуры ЦП:

Установка Zeek

RITA требует Zeek для генерации сетевых логов. Если у вас ещё не установлен Zeek, установите docker-zeek и выполните zeek start.

Импорт

Импортируйте данные в RITA с помощью команды import:

rita import --database=mydatabase --logs=~/mylogs

database — это имя, которое вы хотите дать набору данных

logs — это путь к логам Zeek, которые вы хотите импортировать

Для наборов данных, которые должны накапливать данные со временем, при этом логи содержат информацию о сети, актуальную (менее 24 часов), используйте флаг --rolling при создании и каждом последующем импорте в набор данных. Наиболее распространённый вариант использования — импорт логов с сенсора Zeek по cron-заданию каждый час.

Примечание: Для наборов данных, содержащих более 24 часов логов, но старше 24 часов, просто импортируйте корневой каталог набора логов без флага --rolling. Импорт этих логов с флагом --rolling может привести к некорректным результатам.

Чтобы уничтожить и создать набор данных заново, используйте флаг --rebuild.

Конфигурация

См. Конфигурация для получения подробной информации о настройке оценок.

Поиск

RITA использует синтаксис поиска в стиле GitHub. Каждое поле имеет формат <поле>:<значение>, критерии поиска разделяются пробелом. Например:

src:192.168.88.2 dst:165.227.88.15 beacon:>=90 sort:duration-desc

Поддерживаемые поля поиска

Поддерживаемые поля сортировки

Синтаксис сортировки: sort:<столбец>-<направление>, где направление сортировки — asc (по возрастанию) или desc (по убыванию).

Поддерживаемые столбцы:

• severity
• beacon
• duration
• subdomains

Вывод в CSV

Чтобы вывести результаты в CSV вместо просмотра в терминальном интерфейсе, передайте флаг --stdout или -o команде view:

Флаг должен стоять перед именем набора данных.

rita view --stdout mydataset

Поддержка цветов в терминальном интерфейсе

Терминальный интерфейс (TUI) по умолчанию поддерживает цветной вывод. Включать его не требуется.

Проверьте значение переменной "$TERM" — оно должно быть xterm-256color. Если это не так, установите эту переменную в вашей системе (например, в ~/.bash_profile, ~/.profile и т.д.).

В зависимости от цветовой темы вашего терминала TUI адаптируется под светлый или тёмный режим.

Если вы цените стиль и любите красивые цвета, попробуйте тему Catpuccin!