Система расследования инцидентов
Текущая версия v2.4.20
Онлайн-демонстрация

IRIS

Iris — это веб-коллаборативная платформа, предназначенная для помощи специалистам по реагированию на инциденты в обмене техническими деталями во время расследований.

Содержание

• Начало работы
  • Запуск IrisWeb
  • Конфигурация
• Версионирование
• Демонстрация
• Документация
  • Обновления
  • API
• Помощь
• Замечания
• Лицензия

Начало работы

Платформа состоит из двух основных частей: IrisWeb и IrisModules.

• IrisWeb — это веб-приложение, содержащее ядро Iris (веб-интерфейс, управление базой данных и т.д.).
• IrisModules — это расширения ядра, позволяющие сторонним решениям обрабатывать данные через Iris (например, обогащение IOCs с помощью MISP и VT, загрузка и внедрение EVTX в Splunk).

IrisWeb может работать без модулей, хотя по умолчанию некоторые из них предустановлены. Перейдите в раздел Manage > Modules в интерфейсе для их настройки и включения.

Запуск Iris

Для упрощения установки и обновлений Iris поставляется в Docker-контейнерах. Благодаря Docker Compose он может быть готов к работе за несколько минут.

#  Клонируйте репозиторий iris-web
git clone https://github.com/dfir-iris/iris-web.git
cd iris-web

# Переключитесь на последнюю версию по тегу 
git checkout v2.4.20
# Скопируйте файл окружения 
cp .env.model .env

# Загрузите образы Docker
docker compose pull

# Запустите IRIS 
docker compose up

Iris будет доступен по адресу хоста на порту 443 по протоколу HTTPS — https://<your_instance_ip>.
По умолчанию создаётся учётная запись administrator. Пароль выводится в stdout при первом запуске Iris. После этого он больше не будет отображаться.
Для поиска пароля можно искать строку WARNING :: post_init :: create_safe_admin :: >>> в логах Docker-контейнера webapp.
Начальный пароль можно задать через конфигурацию.

Iris состоит из 5 Docker-сервисов, каждый со своей ролью.

• app: Ядро, включающее веб-сервер, управление БД, управление модулями и т.д.
• db: База данных PostgreSQL
• RabbitMQ: Движок RabbitMQ для обработки очередей задач
• worker: Обработчик задач, работающий на RabbitMQ
• nginx: Обратный прокси NGINX

Конфигурация

Существует три варианта настройки параметров и учётных данных: Azure Key Vault, переменные окружения и конфигурационные файлы. Это также порядок приоритета: если параметр не задан, он будет подхвачен из следующей опции.
Все доступные параметры конфигурации описаны в документации.

Версионирование

Начиная с версии 2.0.0, Iris следует принципам Semantic Versioning 2.0.
Код, готовый к производственной эксплуатации, всегда помечен номером версии.
Версии alpha и beta не являются готовыми к production.

Не используйте ветку master в production.

Демонстрация

Вы можете попробовать Iris непосредственно на нашем демонстрационном сайте.
Также можно заглянуть в учебные материалы — мы разместили там несколько видео.

Документация

Полная документация доступна на docs.dfir-iris.org.

Обновления

Пожалуйста, читайте примечания к выпуску при обновлении версий. В большинстве случаев миграции выполняются автоматически, но некоторые изменения могут потребовать ручного вмешательства в зависимости от версии.

API

Справка по API доступна в документации или репозитории документации.

Помощь

Вы можете связаться с нами в Discord или по почте, если у вас есть вопросы, проблемы или идеи!
Мы также есть в Twitter и Matrix.

Замечания

Iris всё ещё находится на ранней стадии развития. Его уже можно использовать в production, но, пожалуйста, настройте резервное копирование базы данных и не открывайте интерфейс в Интернет. Мы настоятельно рекомендуем использовать частную выделенную и защищённую сеть.

Лицензия

Содержимое этого репозитория доступно по лицензии LGPL3.

Спонсорство

Особая благодарность Deutsche Telekom Security GmbH за спонсорскую поддержку!