strelka v1.0.2 — Real-time, container-based file scanning at enterprise scale

发布版 | 文档 | 拉取请求 | 问题

Strelka 是一个实时的、基于容器的文件扫描系统，用于威胁狩猎、威胁检测和事件响应。它最初基于洛克希德·马丁公司的 Laika BOSS 及类似项目（参见：相关项目）的设计，Strelka 的目标是在企业规模下执行文件提取和元数据收集。

Strelka 与其同类项目在以下几个重要方面有所不同：

核心代码库为 Go 和 Python3.10+
服务器组件在容器中运行，便于部署的灵活性和简便性
提供适用于 Windows、Mac 和 Linux 的原生客户端应用程序
使用支持跨平台、跨语言的库和格式构建

功能特性

Strelka 是一个模块化数据扫描平台，允许用户或系统提交文件，以分析、提取和报告文件内容及元数据。配合 SIEM，Strelka 能够聚合、告警，并使分析人员无需直接进行数据收集或耗时的文件分析即可更好地了解其环境。

Strelka 功能特性

快速开始

通过 Strelka 运行文件非常简单。本节将演示 Strelka 的提取和分析能力，用于一次性分析。

请查阅文档以了解如何在企业环境中正确构建和部署 Strelka 的详细信息。

步骤1：安装前置依赖

# Ubuntu 23.04
sudo apt install -y wget git docker docker-compose golang jq && \
sudo usermod -aG docker $USER && \
newgrp docker

步骤2：下载 Strelka

git clone https://github.com/target/strelka.git && \
cd strelka

步骤3：下载并安装首选的 YARA 规则（可选）

rm configs/python/backend/yara/rules.yara && \
git clone https://github.com/Yara-Rules/rules.git configs/python/backend/yara/rules/ && \
echo 'include "./rules/index.yar"' > configs/python/backend/yara/rules.yara

步骤4a：拉取预编译镜像并启动 Strelka

注意：您可以跳过 go build 流程，使用 Strelka UI 在 http://0.0.0.0:9980 分析文件。

docker compose -f build/docker-compose-no-build.yaml up -d && \
go build github.com/target/strelka/src/go/cmd/strelka-oneshot

步骤4b：构建并启动 Strelka

注意：您可以跳过 go build 流程，使用 Strelka UI 在 http://0.0.0.0:9980 分析文件。

docker compose -f build/docker-compose.yaml build && \
docker compose -f build/docker-compose.yaml up -d && \
go build github.com/target/strelka/src/go/cmd/strelka-oneshot

步骤5：准备要分析的文件

使用任何恶意软件样本或其他您希望 Strelka 分析的任意文件。

wget https://github.com/ytisf/theZoo/raw/master/malware/Binaries/Win32.Emotet/Win32.Emotet.zip -P samples/

步骤6：使用容器化的一次性扫描功能通过 Strelka 分析文件

./strelka-oneshot -f samples/Win32.Emotet.zip -l - | jq

这里发生了什么？

Strelka 判定提交的文件是一个加密的 ZIP 文件（参见：taste.yara backend.yaml）
ScanEncryptedZip 使用字典破解了 ZIP 文件密码，并提取了压缩文件
提取的文件由扫描器重新送入 Strelka 管道，Strelka 判定提取出的文件是一个 EXE
ScanPe 对 EXE 文件进行了剖析，并在输出中添加了有用的元数据
ScanYara 使用提供的规则分析了 EXE 文件，并在输出中加入了大量匹配结果，其中一些表明该文件可能具有恶意性

以下输出已做精简处理以便于阅读。

{
  "file": {
    "depth": 0,
    "flavors": {
      "mime": ["application/zip"],
      "yara": ["encrypted_zip", "zip_file"]
    },
    "scanners": [
      "ScanEncryptedZip",
      "ScanEntropy",
      "ScanFooter",
      "ScanHash",
      "ScanHeader",
      "ScanYara",
      "ScanZip"
    ]
  },
  "scan": {
    "encrypted_zip": {
      "cracked_password": "infected",
      "elapsed": 0.114269,
      "total": {"extracted": 1, "files": 1}
    }
  }
}

{
  "file": {
    "depth": 1,
    "flavors": {
      "mime": ["application/x-dosexec"],
      "yara": ["mz_file"]
    },
    "name": "29D6161522C7F7F21B35401907C702BDDB05ED47.bin",
    "scanners": [
      "ScanEntropy",
      "ScanFooter",
      "ScanHash",
      "ScanHeader",
      "ScanPe",
      "ScanYara"
    ]
  },
  "scan": {
    "pe": {
      "address_of_entry_point": 5168,
      "base_of_code": 4096,
      "base_of_data": 32768,
      "checksum": 47465,
      "compile_time": "2015-03-31T08:53:51",
      "elapsed": 0.013076,
      "file_alignment": 4096,
      "file_info": {
        "company_name": "In CSS3",
        "file_description": "Note: In CSS3, the text-decoration property is a shorthand property for text-decoration-line, text-decoration-color, and text-decoration-style, but this is currently.",
        "file_version": "1.00.0065",
        "fixed": {"operating_systems": ["WINDOWS32"]},
        "internal_name": "Callstb",
        "original_filename": "NOFAstb.exe",
        "product_name": "Goodreads",
        "product_version": "1.00.0065",
        "var": {"character_set": "Unicode", "language": "U.S. English"}
      }
    },
    "yara": {
      "elapsed": 0.068918,
      "matches": [
        "SEH__vba",
        "SEH_Init",
        "Big_Numbers1",
        "IsPE32",
        "IsWindowsGUI",
        "HasOverlay",
        "HasRichSignature",
        "Microsoft_Visual_Basic_v50v60",
        "Microsoft_Visual_Basic_v50",
        "Microsoft_Visual_Basic_v50_v60",
        "Microsoft_Visual_Basic_v50_additional",
        "Microsoft_Visual_Basic_v50v60_additional"
      ],
      "tags": [
        "AntiDebug",
        "SEH",
        "Tactic_DefensiveEvasion",
        "Technique_AntiDebugging",
        "SubTechnique_SEH",
        "PECheck",
        "PEiD"
      ]
    }
  }
}

下一步做什么？

如果 Strelka 已在您的环境中部署并持续接收文件，您可能正在将这些事件收集到您的 SIEM 中。通过此分析，您可以编写一条规则，查找与可疑 YARA 标签匹配的事件，从而提醒您可能存在恶意文件。

scan.yara.tags:("Technique_AntiDebugging" && "SubTechnique_SEH")

Fileshot UI

Strelka 的 UI 在您构建所提供的容器时即可使用。该 Web 界面允许您将文件上传到 Strelka 并捕获事件，事件将本地存储。

导航到 http://localhost:9980/ 并使用凭据 strelka/strelka 登录。

Strelka UI

潜在用途

Strelka 拥有超过 50 种文件扫描器，覆盖最常见的文件类型（例如 exe、docx、js、zip），使用户能够深入了解其主机、网络或企业中的文件。虽然 Strelka 本身并非检测引擎（尽管它确实使用了 YARA），但它可以提供足够的元数据来识别可疑或恶意文件。Strelka 的一些潜在用途包括：

Strelka 用途

附加文档

关于 Strelka 的更多文档可以在 README 中找到，包括：

贡献

贡献指南可以在此处找到。

已知问题

加载 YARA 规则的问题

建议用户预编译其 YARA 规则，以获得最佳性能并避免运行时可能发生的问题。使用预编译的 YARA 文件有助于减少加载时间和资源消耗，尤其是在拥有大量规则的环境中。请确保使用 Strelka 配置文件中的 compiled 选项指向预编译的规则文件。

其他问题

请参阅跟踪器中标记为 bug 的问题，了解其他任何问题。

许可协议

Strelka 及其相关代码根据 Apache 2.0 许可证发布。