Spostati su TheHIVE, ciao DFIR-IRIS

La migliore serie di stack SIEM GRATUITA al mondo

Introduzione

Le piattaforme di risposta agli incidenti (IRP) sono uno strumento essenziale per le organizzazioni di tutte le dimensioni e settori, in quanto forniscono una piattaforma centralizzata per la gestione delle attività di risposta agli incidenti e aiutano le organizzazioni a rispondere in modo rapido ed efficace agli incidenti informatici. Utilizzando gli IRP, le organizzazioni possono ridurre l'impatto degli incidenti informatici, ridurre al minimo il rischio di violazioni dei dati e garantire la conformità alle normative del settore.

Dal mio punto di vista, le piattaforme di risposta agli incidenti (IRP) sono il secondo componente più importante di qualsiasi stack SIEM (Security Information and Event Management), dopo l'acquisizione dei log.

Forniscono una piattaforma centralizzata per la gestione delle attività di risposta agli incidenti, tra cui il rilevamento delle minacce, la valutazione degli incidenti, l'indagine sugli incidenti e la risoluzione degli incidenti.

• Triage dell'incidente: può includere l'analisi della portata dell'incidente, dei sistemi e dei dati che potrebbero essere interessati e del potenziale danno che potrebbe derivarne.
• Indagine sull'incidente: consente ai soccorritori di raccogliere rapidamente le informazioni necessarie per comprendere l'incidente e prendere decisioni informate su come rispondere.
• Risoluzione degli incidenti: ciò consente ai soccorritori di rispondere in modo rapido ed efficace agli incidenti, indipendentemente dalla loro gravità o complessità.
• Conformità e reporting: gli IRP aiutano anche le organizzazioni a soddisfare i requisiti di conformità fornendo la possibilità di generare report sugli incidenti e altre forme di documentazione richieste dagli organismi di regolamentazione.

Prima di un cambiamento nella loro licenza, TheHIVE era la principale soluzione open source per le nostre esigenze di risposta agli incidenti. Purtroppo la modifica alla licenza a fine 2022 ha comportato una sensibile riduzione delle funzionalità disponibili nella versione gratuita della piattaforma.

Mentre i team SOC si affrettavano a trovare un sostituto competente, DFIR-IRIS è rimasto pronto, aspettando con impazienza la possibilità di dimostrare le proprie capacità.

Benvenuto DFIR-IRIS

Per fortuna il team dietro DFIR-IRIS si è fatto avanti per salvare la giornata con una piattaforma di risposta agli incidenti open source.

A mio parere, IRIS seleziona tutte le caselle quando si tratta di quali funzionalità deve contenere qualsiasi piattaforma di risposta agli incidenti.

• Gestione degli incidenti: DFIR-IRIS consente ai soccorritori di creare, tracciare e gestire gli incidenti, inclusa la valutazione, l'indagine e la risoluzione degli incidenti.
• Gestione delle prove: DFIR-IRIS consente ai soccorritori di incidenti di raccogliere, conservare e analizzare prove digitali, incluse immagini di sistema, traffico di rete e file di registro.
• Reporting: DFIR-IRIS offre una gamma di funzionalità di reportistica e documentazione, inclusi report sugli incidenti, riepiloghi dei casi e tempistiche.
• Integrazione: DFIR-IRIS consente l'integrazione con vari altri strumenti, come strumenti di analisi del malware, strumenti di analisi del traffico di rete e strumenti forensi.
• Collaborazione: DFIR-IRIS consente ai soccorritori di incidenti di collaborare e condividere informazioni con altri team, come i team di risposta agli incidenti, i team forensi e le forze dell'ordine.

A mio parere, i moduli estesi sono la caratteristica più interessante di IRIS. I moduli sono molto simili a quelli ottenuti da TheHIVE con gli analizzatori e i risponditori di Cortex . I moduli IRIS sono suddivisi in due tipi:

• Moduli pipeline: consentono il caricamento e l'elaborazione delle prove tramite pipeline modulari (ad esempio: analisi EVTX e inserimento in un database o visualizzatore di dati)
• Moduli del processore: consentono l'elaborazione dei dati IRIS in base ad azioni/ganci predefiniti. (ad esempio: ricevere una notifica quando viene creato un nuovo IOC e ottenere approfondimenti VT/MISP per esso).

Stai cercando di indagare su un IoC utilizzando MISP o Virustotal? Sei fortunato: c'è un modulo disponibile proprio per questo scopo.

O hai un caso d'uso unico e devi crearne uno tuo? Con una visione e un po' di programmazione Python, puoi ottenere proprio questo!

Il team di SOCFortress si sta impegnando nella costruzione di moduli per far divertire l'intera comunità, rimanete sintonizzati!

Meno chiacchiere, più azioni

IRIS deve essere installato tramite Docker e il team ha messo insieme un file di composizione che esegue 5 servizi Docker.

• app - iris_webapp: Il nucleo, incluso il web server, la gestione del DB, la gestione dei moduli ecc.
• db: un database PostgresSQL
• RabbitMQ: un motore RabbitMQ per gestire l'accodamento e l'elaborazione dei lavori
• worker: Gestore dei lavori che si affida a RabbitMQ
• nginx: un proxy inverso NGINX

Installare

Presumo che tu abbia già installato docker, in caso contrario puoi seguire le guide all'installazione di Docker qui: Guida all'installazione di Docker .

#  Clone the iris-web repository
git clone https://github.com/dfir-iris/iris-web.git
cd iris-web

# Checkout to the last non-beta tagged version -
git checkout v1.4.5

# Copy the environment file 
cp .env.model .env
# [... optionally, do some configuration as specified in section below ...]

# Build the dockers
docker compose build

# Run IRIS 
docker compose up

      
                

                    
                    
                
            

SEGUI IL VIDEO PER ACCEDERE ALLE TUE CREDENZIALI DI ACCESSO E UNA VETRINA DELLA PIATTAFORMA

Conclusione

Dato l'immenso valore fornito da TheHIVE, devo ammettere che ero preoccupato per la possibilità di costruire uno stack SIEM completo senza di esso. Come molti altri, stavo cercando di trovare uno strumento che offrisse le stesse funzionalità di TheHIVE con la possibilità di essere personalizzato per adattarsi a qualsiasi caso d'uso. Per fortuna, il team dietro DFIR-IRIS ha sviluppato una piattaforma di risposta agli incidenti che non solo è completamente open source, ma offre anche una combinazione di funzionalità integrate e la possibilità di personalizzare e creare la nostra, fornendo una soluzione potente e versatile per risposta agli incidenti.

Discordia DFIR-IRIS:https://discord.gg/udqjsUjv

Ho bisogno di aiuto?

Le funzionalità discusse in questo post, e molto altro ancora, sono disponibili tramite i servizi professionali di SOCFortress. Lascia che SOCFortress aiuti te e il tuo team a proteggere la vostra infrastruttura.

Sito web:https://www.socfortress.co/

Servizi professionali:https://www.socfortress.co/ps.html