搜索

[14790] 2019-11-08_RITA：一款功能强大的真实情报威胁分析工具

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-11-08_RITA：一款功能强大的真实情报威胁分析工具 R I T A ： 一 款 功 能 强 大 的 真 实 情 报 威 胁 分 析 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 1 - 0 8 工 具 介 绍 工 具 介 绍 R I T A 是 一 款 专 门 针 对 网 络 流 量 分 析 与 测 试 人 员 的 开 源 框 架 ， 广 大 研 究 人 员 可 以 利 用 R I T A 来 对 收 集 到 的 安 全 威 胁 情 报 进 行 深 度 分 析 。 R I T A 能 够 以 T S V 格 式 来 读 取 B r o / Z e e k 日 志 ， 该 工 具 当 前 支 持 以 下 几 个 主 要 功 能 ： 1 、 B e a c o n 检 测 ： 搜 索 目 标 网 络 中 的 所 有 B e a c o n 行 为 标 记 ； 2 、 D N S 隧 道 检 测 ： 搜 索 基 于 D N S 的 隐 蔽 通 信 信 道 标 记 ； 3 、 黑 名 单 检 测 ： 查 询 黑 名 单 以 搜 索 可 疑 域 名 和 主 机 ； 工 具 安 装 工 具 安 装 自 动 化 安 装 自 动 化 安 装 R I T A 的 自 动 安 装 工 具 目 前 支 持 U b u n t u   1 6 . 0 4   L T S ， S e c u r i t y   O n i o n * 和 C e n t O S   7 。 1 、 从 R I T A 项 目 的 【 R e l e a s e 页 面 】 下 载 最 新 版 本 的 i n s t a l l . s h 文 件 。 2 、 给 i n s t a l l . s h 脚 本 提 供 可 执 行 权 限 ： 3 、 使 用 下 列 命 令 运 行 安 装 器 ： 如 需 在 S e c u r i t y   O n i o n 平 台 上 使 用 R I T A 来 进 行 信 息 收 集 ， 请 查 看 这 篇 h t t p s : / / s e c u r i t y o n i o n . n e t / d o c s / R I T A 。 手 动 安 装 手 动 安 装 构 建 R I T A 源 码 ： 配 置 系 统 ： 工 具 使 用 工 具 使 用 系 统 要 求 系 统 要 求 1 、 操 作 系 统 ： 6 4 位 U b u n t u   1 6 . 0 4   L T S ， 并 使 用 “ a p t - g e t ” 完 成 系 统 更 新 。 2 、 处 理 器 ： 至 少 三 核 心 ， 如 果 与 其 他 虚 拟 机 产 生 资 源 竞 争 ， 则 有 可 能 导 致 数 据 包 丢 失 。 3 、 内 存 ： 至 少 1 6 G B 内 存 ， 如 需 监 控 1 0 0 M B 以 上 网 络 流 量 ， 则 需 6 4 G B 内 存 ； 如 需 监 控 1 G B 以 上 网 络 流 量 ， 则 需 1 2 8 G B 内 存 。 4 、 存 储 ： 至 少 3 0 0 G B 存 储 空 间 ， 建 议 使 用 1 T B 或 更 多 。 5 、 网 络 ： 为 了 结 合 B r o / Z e e k 来 不 作 流 量 ， 我 们 需 要 至 少 两 块 网 卡 ， 其 中 一 个 负 责 系 统 的 管 理 ， 另 一 块 负 责 捕 捉 端 口 流 量 。 配 置 文 件 配 置 文 件 F i l t e r i n g :   I n t e r n a l S u b n e t s 是 必 须 配 置 的 ， 否 则 无 法 查 看 到 分 析 结 果 。 如 果 你 的 网 络 使 用 了 标 准 R F C 1 9 1 8 ， 内 部 I P 范 围 为 1 0 . 0 . 0 . 0 / 8 ,   1 7 2 . 1 6 . 0 . 0 / 1 2 ,   1 9 2 . 1 6 8 . 0 . 0 / 1 6 ， 我 们 需 要 去 掉 配 置 文 件 中 I n t e r n a l S u b n e t s 数 据 域 的 注 释 ， 并 根 据 我 们 的 环 境 情 况 进 行 参 数 修 改 。 R I T A 的 主 要 目 标 是 为 了 寻 找 已 被 入 侵 的 内 部 系 统 在 于 外 部 系 统 通 信 的 标 识 ， 并 且 能 够 自 动 过 滤 内 部 终 端 的 通 信 。 除 了 F i l t e r i n g :   I n t e r n a l S u b n e t s 之 外 ， 你 可 能 还 需 要 配 置 F i l t e r i n g :   A l w a y s I n c l u d e ， 它 是 一 个 范 围 列 表 ， 可 以 指 定 需 要 过 滤 的 内 容 。 获 取 数 据 （ 生 成 获 取 数 据 （ 生 成 B r o / Z e e k 日 志 ） 日 志 ） 选 项 1 ： 生 成 P C A P 使 用 一 个 数 据 包 嗅 探 工 具 生 成 P C A P 文 件 ， 例 如 t c p d u m p 和 w i r e s h a r k 等 等 。 （ 可 选 项 ） 将 多 个 P C A P 文 件 整 合 为 一 个 P C A P 文 件 ： 或 ， 利 用 B r o / Z e e k 日 志 生 成 P C A P 文 件 ： c h m o d   + x   . / i n s t a l l . s h s u d o   . / i n s t a l l . s h g o   g e t   g i t h u b . c o m / a c t i v e c m / r i t a ( g i t   c l o n e   g i t @ g i t h u b . c o m : a c t i v e c m / r i t a . g i t ) $ G O P A T H / s r c / g i t h u b . c o m / a c t i v e c m / r i t a c d   $ G O P A T H / s r c / g i t h u b . c o m / a c t i v e c m / r i t a m a k e s u d o   m k d i r   / e t c / r i t a   & &   s u d o   c h m o d   7 5 5   / e t c / r i t a s u d o   m k d i r   - p   / v a r / l i b / r i t a / l o g s   & &   s u d o   c h m o d   - R   7 5 5   / v a r / l i b / r i t a s u d o   c p   $ G O P A T H / s r c / g i t h u b . c o m / a c t i v e c m / r i t a / e t c / r i t a . y a m l   / e t c / r i t a / c o n f i g . y a m l   & &   s u d o   c h m o d   6 6 6   / e t c / r i t a / c o n f i g . y a m l m e r g e c a p   - w   o u t F i l e . p c a p   i n F i l e 1 . p c a p   i n F i l e 2 . p c a p
选 项 2 ： 安 装 B r o / Z e e k ， 并 直 接 监 控 目 标 接 口 出 于 性 能 考 虑 ， 你 可 能 需 要 编 译 B r o / Z e e k 源 码 ， 这 个 脚 本 可 以 完 成 自 动 化 编 译 。 R I T A 自 动 化 安 全 器 默 认 会 对 B r o / Z e e k 源 码 进 行 预 编 译 ， 只 需 要 在 运 行 安 装 器 的 时 候 提 供 “ — d i s a b l e - b r o ” 参 数 即 可 。 使 用 样 例 使 用 样 例 如 果 你 想 获 取 当 周 有 价 值 的 威 胁 情 报 数 据 ， 可 以 直 接 使 用 下 列 R I T A 命 令 ： 如 果 你 想 获 取 4 8 小 时 内 有 价 值 的 威 胁 情 报 数 据 ， 可 以 直 接 使 用 下 列 R I T A 命 令 ： 使 用 使 用 R I T A 测 试 数 据 测 试 数 据 使 用 使 用 s h o w - X 命 令 ： 命 令 ： 1 、 s h o w - d a t a b a s e s :   输 出 当 前 存 储 的 数 据 集 2 、 s h o w - b e a c o n s :   打 印 检 测 到 了 C 2 痕 迹 的 主 机 列 表 3 、 s h o w - b l - h o s t n a m e s :   打 印 黑 名 单 中 接 收 链 接 的 主 机 名 列 表 4 、 s h o w - b l - s o u r c e - i p s :   打 印 黑 名 单 中 初 始 化 链 接 的 I P 列 表 5 、 s h o w - b l - d e s t - i p s :   打 印 黑 名 单 中 接 收 链 接 的 I P 列 表 6 、 s h o w - e x p l o d e d - d n s :   打 印 D N S 分 析 结 果 ， 显 示 隐 蔽 的 D N S 信 道 7 、 s h o w - l o n g - c o n n e c t i o n s :   打 印 长 链 接 以 及 相 关 信 息 8 、 s h o w - s t r o b e s :   打 印 高 频 链 接 9 、 s h o w - u s e r a g e n t s :   打 印 用 户 代 理 信 息 以 以 C S V / H T M L 格 式 显 示 数 据 ： 格 式 显 示 数 据 ： 1 、 - H ： 以 人 类 可 读 的 格 式 显 示 数 据 。 2 、 h t m l - r e p o r t ： 生 成 H T M L 报 告 。 项 目 地 址 项 目 地 址 R I T A ： h t t p s : / / g i t h u b . c o m / a c t i v e c m / r i t a 许 可 证 协 议 许 可 证 协 议 R I T A 项 目 遵 循 G N U   G P L   v 3 开 源 许 可 证 协 议 。 * 参 考 来 源 ： 参 考 来 源 ： a c t i v e c m ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 b r o   - r   p c a p _ t o _ l o g . p c a p   l o c a l   " L o g : : d e f a u l t _ r o t a t i o n _ i n t e r v a l   =   1   d a y " r i t a   i m p o r t   - - r o l l i n g   - - n u m c h u n k s   7   / o p t / b r o / l o g s / c u r r e n t   w e e k - d a t a s e t r i t a   i m p o r t   - - r o l l i n g   - - n u m c h u n k s   4 8   / o p t / b r o / l o g s / c u r r e n t   4 8 - h o u r - d a t a s e t
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理