מהי DFIR-IRIS?
DFIR-IRIS היא פלטפורמת קוד פתוח שיתופית, שנועדה לסייע לאנליסטים בתחום התגובה לאירועי סייבר
(Incident Response) לשתף ולנהל חקירות מורכבות ברמה הטכנית.
DFIR-IRIS פותחה על ידי צוותי תגובה לאירועים, במטרה לשפר את התקשורת והארגון במהלך חקירות סייבר.
שימושים עיקריים של DFIR-IRIS
ניהול חקירות:
IRIS מאפשרת לאנליסטים לשתף פעולה בחקירות, לעקוב אחר משימות,
לנהל נכסים (Assets) ומדדי זיהוי (IOC), וליצור ציר זמן (Timeline) של האירועים.
קבלת התראות:
הפלטפורמה יכולה לקבל התראות ממערכות SIEM או ממקורות אחרים, לאפשר סינון,
הוספת הערות, קישור למקרים אחרים, והסלמה למקרים חדשים במידת הצורך.
אוטומציה ודיווח:
IRIS מציעה יכולות אוטומציה, כולל יצירת דוחות, העשרת נתונים ממקורות חיצוניים,
וזיהוי אוטומטי של נכסים או IOC שהופיעו בחקירות קודמות.
מודולים מרכזיים של DFIR-IRIS
VirusTotal:
מאפשר העשרת IOCs באמצעות נתונים מ-VirusTotal.
MISP:
אינטגרציה עם פלטפורמת MISP לשיתוף מידע על איומים.
WebHooks:
מאפשר שילוב עם מערכות חיצוניות באמצעות WebHooks.
IntelOwl:
מאפשר העשרת נתונים באמצעות IntelOwl.
ניתן להרחיב את הפלטפורמה באמצעות מודולים מותאמים אישית, בהתאם לצרכי הארגון.
עלויות של DFIR-IRIS
DFIR-IRIS היא פלטפורמת קוד פתוח וחינמית.
המשמעות היא שאין עלויות רישוי, אך ייתכנו עלויות נוספות הקשורות לפריסה,
תחזוקה, ואינטגרציה עם מערכות אחרות.
ייתכן שיהיה צורך בהשקעת זמן ומשאבים להתאמת הפלטפורמה לצרכי הארגון.
שאלות ותשובות בנושא DFIR-IRIS
ש: איזו גרסה עליי להתקין?
ת: מומלץ להתקין את הגרסאות המסומנות (Tagged) כיציבות.
הפיתוח מתבצע בענף ה-“develop” ומוזג לענף ה-“master” כאשר הוא מוכן.
מומלץ להשתמש בגרסאות המשוחררות הרשמיות.
ש: האם ניתן לשחזר מקרה שנמחק?
ת: לא. מקרים שנמחקים מוסרים מהמאגר ואין אפשרות לשחזרם,
אלא אם כן קיים גיבוי של המאגר.
ש: האם ניתן להוסיף סוגי נכסים או IOCs חדשים?
ת: כן. משתמשים עם הרשאות מנהל יכולים להוסיף סוגי נכסים ו-IOCs
חדשים דרך הממשק הניהולי.
ש: האם ניתן להוסיף שדות מותאמים אישית לאובייקטים במקרים?
ת: כן. החל מגרסה 1.4.0, ניתן להוסיף שדות מותאמים אישית לאובייקטים במקרים
באמצעות הממשק הניהולי.
ש: כיצד ניתן ליצור מודולים מותאמים אישית?
ת: IRIS מספקת ממשק לפיתוח מודולים מותאמים אישית בשפת Python.
ניתן להשתמש במודול הבסיסי (iris-module-interface) כנקודת התחלה לפיתוח מודולים חדשים.
ש: האם הפלטפורמה תומכת באימות חד-פעמי (SSO)?
ת: כן, החל מגרסה 2.4.16, IRIS תומכת באימות חד-פעמי (SSO) לשיפור האבטחה וניהול הגישה.
ש: כיצד ניתן לתרום לפיתוח הפלטפורמה?
ת: ניתן לתרום לפיתוח IRIS באמצעות דיווח על בעיות, הצעת שיפורים,
או פיתוח מודולים חדשים.
הפרויקט מתארח ב-GitHub, ותרומות מהקהילה מתקבלות בברכה.
DFIR-IRIS ממשיכה להתפתח עם תרומות מהקהילה, ומציעה פתרון גמיש וניתן להתאמה
לצרכי צוותי תגובה לאירועים.
הפלטפורמה מספקת כלים מתקדמים לניהול חקירות סייבר, שיתוף פעולה בין אנליסטים,
ואוטומציה של תהליכים, כל זאת במסגרת של קוד פתוח וחינמי.
