Yeti 平台

Yeti 旨在弥补 CTI 与 DFIR 从业人员之间的差距，为 DFIR 团队提供一个取证情报平台和流水线。它的诞生源于不得不回答“我之前在哪里见过这个工件？”或“如何在我的时间线上搜索与此威胁（或所有威胁）相关的 IOCs？”这类问题的无奈。

文档链接：

• 主站：https://yeti-platform.io/
• 文档
• 指南

什么是 Yeti？

简而言之，Yeti 允许你：

• 批量搜索可观测对象，并对其威胁性质以及如何在系统中找到它做出良好的判断。
• 反过来，聚焦于某个威胁，快速列出所有 TTP、恶意软件以及相关的 DFIR 工件。
• 让 CTI 分析师专注于添加情报，而无需担心机器可读的导出格式。
• 非常轻松地整合你自己的数据源、分析逻辑和规则。

这是通过以下方式实现的：

• 存储来自内部或外部系统的技术和战术 CTI（可观测对象、TTP、活动等）。
• 作为 DFIR 相关查询的后端：Yara 规则、Sigma 规则、DFIQ。
• 提供 Web API 来自动化查询（如事件管理平台）和丰富化（如恶意软件沙箱）。
• 以用户定义的格式导出数据，以便第三方应用（SIEM、DFIR 平台）摄入。

部分截图