Jupyter Notebook 中的 RITA (Real Intelligence Threat Analytics)

RITA 是一个由 Active Countermeasures 赞助的开源网络流量分析框架。

RITA-J 是 RITA 功能在 Jupyter Notebook 中的实现。其目标是支持所有格式为 CSV、TSV 或 JSON 的防火墙/代理/DNS 日志，并让您无需安装额外的硬件和其他需要维护的组件，即可轻松分析、搜寻和检测潜在的 C2 活动。

---

示例数据集由 Ali Alwashali (@ali_alwashali) 分享。其中包含：

• 来自 malware-traffic-analysis.net PCAP 文件（2013 年至 2021 年）的 Zeek 日志
• 由 PCAP 分析触发的 Suricata 告警

功能特性

• Beaconing 检测：搜索网络内外是否存在 Beaconing 行为迹象
• DNS 隧道检测：搜索基于 DNS 的隐蔽信道迹象（待办）
• 黑名单检查：查询黑名单以搜索可疑域名和主机（待办）
• 更多功能将陆续添加

要求

防火墙/代理日志需为 CSV 或 JSON 格式。如果日志未经过解析，则需要在分析前进行解析。
这些 Notebook 支持 CSV 文件。JSON 需要手动映射。以下是一些有助于读取和解析 JSON 文件的资源：

• https://www.w3schools.com/python/pandas/pandas_json.asp
• https://towardsdatascience.com/how-to-parse-json-data-with-python-pandas-f84fbd0b1025
• https://towardsdatascience.com/how-to-convert-json-into-a-pandas-dataframe-100b2ae1e0d8
• https://www.scaler.com/topics/how-to-open-json-file-in-python/

获取日志及处理不同日志格式

获取日志有几种方式。

• 从 SIEM / DB / API 读取
  • https://infosecjupyterthon.com/workshops/day1/day1-2-Acquiring-data.html
• 从 SIEM 导出 CSV/JSON 格式的日志
• 将日志发送到 Syslog 服务器/连接器 -> 解析 -> 导出为 CSV/JSON 文件
• 直接将日志导出到文件，然后将其转换为 CSV/JSON

一个用于转换 Fortinet 日志的示例：
https://github.com/lucky-luk3/Infosec_Notebooks/blob/main/Forti_VPN_Logs_Analysis-Public.ipynb

Fortinet CSV 日志转换器

下面的脚本可能适用于所有使用键值对日志记录的日志文件。
https://github.com/N4SOC/fortilogcsv

安装

即将添加

使用方法

即将添加