오픈 소스 사고 대응 플랫폼

Jan 31 2023

Move Over TheHIVE, Hello DFIR-IRIS 세계 최고의 무료 SIEM 스택 시리즈 Intro Incident Response Platforms(IRP)는 모든 규모와 산업의 조직에 필수적인 도구입니다. 사이버 사고에 효과적으로 대응합니다. 조직은 IRP를 사용하여 사이버 사고의 영향을 줄이고 데이터 위반 위험을 최소화하며 업계 규정을 준수할 수 있습니다.

Move Over TheHIVE, Hello DFIR-IRIS

세계 최고의 무료 SIEM 스택 시리즈

소개

사고 대응 플랫폼(IRP)은 사고 대응 활동을 관리하기 위한 중앙 집중식 플랫폼을 제공하고 조직이 사이버 사고에 신속하고 효과적으로 대응할 수 있도록 지원하므로 모든 규모와 산업의 조직에 필수적인 도구입니다. 조직은 IRP를 사용하여 사이버 사고의 영향을 줄이고 데이터 위반 위험을 최소화하며 업계 규정을 준수할 수 있습니다.

내 관점에서 사고 대응 플랫폼(IRP)은 SIEM(보안 정보 및 이벤트 관리) 스택에서 로그 수집에 이어 두 번째로 중요한 구성 요소입니다.

위협 감지, 사고 분류, 사고 조사 및 사고 해결을 포함하여 사고 대응 활동을 관리하기 위한 중앙 집중식 플랫폼을 제공합니다.

인시던트 분류: 여기에는 인시던트 범위, 영향을 받을 수 있는 시스템 및 데이터, 발생할 수 있는 잠재적 손상 분석이 포함될 수 있습니다.
사고 조사: 이를 통해 사고 대응자는 사고를 이해하는 데 필요한 정보를 신속하게 수집하고 대응 방법에 대한 정보에 입각한 결정을 내릴 수 있습니다.
인시던트 해결: 이를 통해 인시던트 대응자는 심각도나 복잡성에 관계없이 인시던트에 빠르고 효과적으로 대응할 수 있습니다.
규정 준수 및 보고: IRP는 규제 기관에서 요구하는 사고 보고서 및 기타 문서 형식을 생성하는 기능을 제공하여 조직이 규정 준수 요구 사항을 충족하도록 돕습니다.

라이센스가 변경되기 전에 TheHIVE는 사고 대응 요구 사항을 위한 최고의 오픈 소스 솔루션이었습니다. 안타깝게도 2022년 말 라이선스 수정으로 인해 플랫폼의 무료 버전에서 사용할 수 있는 기능이 크게 감소했습니다.

SOC 팀이 유능한 대체품을 찾기 위해 안간힘을 쓰는 동안 DFIR-IRIS는 준비 상태를 유지하며 능력을 입증할 기회를 간절히 기다리고 있습니다.

환영합니다 DFIR-IRIS

고맙게도 DFIR-IRIS 팀은 오픈 소스 사고 대응 플랫폼으로 문제를 해결했습니다.

DFIR-IRIS

제 생각에는 IRIS는 모든 사고 대응 플랫폼에 포함되어야 하는 기능과 관련하여 모든 상자를 체크합니다.

사고 관리: DFIR-IRIS를 사용하면 사고 대응자가 사고 분류, 조사 및 해결을 포함하여 사고를 생성, 추적 및 관리할 수 있습니다.
증거 관리: DFIR-IRIS를 사용하면 사건 대응자가 시스템 이미지, 네트워크 트래픽 및 로그 파일을 포함한 디지털 증거를 수집, 보존 및 분석할 수 있습니다.
보고: DFIR-IRIS는 사고 보고서, 사례 요약 및 타임라인을 포함하여 다양한 보고 및 문서화 기능을 제공합니다.
통합: DFIR-IRIS는 맬웨어 분석 도구, 네트워크 트래픽 분석 도구 및 포렌식 도구와 같은 다양한 기타 도구와의 통합을 허용합니다.
협업: DFIR-IRIS를 사용하면 사고 대응자가 사고 대응 팀, 법의학 팀 및 법 집행 기관과 같은 다른 팀과 정보를 공유하고 협업할 수 있습니다.

케이스 타임라인

제 생각에는 확장 모듈이 IRIS의 가장 매력적인 기능입니다. 모듈은 TheHIVE가 Cortex의 분석기 및 응답기 로 달성하는 것과 매우 유사합니다 . IRIS 모듈은 두 가지 유형으로 나뉩니다.

파이프라인 모듈: 모듈식 파이프라인을 통한 증거 업로드 및 처리 허용(예: 데이터베이스 또는 데이터 시각화 장치에 EVTX 구문 분석 및 주입)
프로세서 모듈: 미리 정의된 작업/후크에 따라 IRIS 데이터 처리를 허용합니다. (예: 새 IOC가 생성될 때 알림을 받고 이에 대한 VT/MISP 통찰력을 얻음).

MISP 또는 Virustotal을 사용하여 IoC를 조사하고 싶습니까? 당신은 운이 좋다 — 바로 그 목적으로 사용할 수 있는 모듈이 있다.

아니면 고유한 사용 사례가 있고 직접 제작해야 합니까? 비전과 약간의 Python 프로그래밍만 있으면 이를 달성할 수 있습니다!

SOCFortress 팀은 전체 커뮤니티가 즐길 수 있는 모듈을 구축하기 위해 노력하고 있습니다. 계속 지켜봐 주세요!

IRIS 모듈

더 적은 말, 더 많은 일

IRIS는 Docker를 통해 설치되며 팀은 5개의 Docker 서비스를 실행하는 작성 파일을 구성했습니다.

app - iris_webapp: 코어, 웹서버, DB관리, 모듈관리 등
db: PostgresSQL 데이터베이스
RabbitMQ: 작업 대기 및 처리를 처리하는 RabbitMQ 엔진
worker: RabbitMQ에 의존하는 작업 핸들러
nginx: NGINX 리버스 프록시

설치하다

이미 도커가 설치되어 있다고 가정합니다. 그렇지 않은 경우 여기에서 도커 설치 가이드를 따를 수 있습니다: 도커 설치 가이드 .

#  Clone the iris-web repository
git clone https://github.com/dfir-iris/iris-web.git
cd iris-web

# Checkout to the last non-beta tagged version -
git checkout v1.4.5

# Copy the environment file 
cp .env.model .env
# [... optionally, do some configuration as specified in section below ...]

# Build the dockers
docker compose build

# Run IRIS 
docker compose up

로그인 자격 증명 및 플랫폼 쇼케이스에 액세스하려면 비디오를 따르십시오.

결론

TheHIVE가 제공한 막대한 가치를 감안할 때, 저는 TheHIVE 없이 포괄적인 SIEM 스택을 구축할 가능성에 대해 우려했습니다. 다른 많은 사람들과 마찬가지로 저는 모든 사용 사례에 맞게 사용자 정의할 수 있는 기능과 함께 TheHIVE와 동일한 기능을 제공하는 도구를 찾기 위해 허둥대고 있었습니다. 고맙게도 DFIR-IRIS 팀은 완전한 오픈 소스일 뿐만 아니라 내장 기능의 조합과 자체 사용자 지정 및 생성 기능을 제공하는 사고 대응 플랫폼을 개발하여 다음을 위한 강력하고 다재다능한 솔루션을 제공합니다. 사건 대응.

DFIR-IRIS 불일치:https://discord.gg/udqjsUjv

도움이 필요하다?

이 게시물에서 논의한 기능 등은 SOCFortress의 전문 서비스를 통해 사용할 수 있습니다. SOCFortress가 귀하와 귀하의 팀이 인프라를 안전하게 유지할 수 있도록 도와드립니다.