来源：https://blog.agood.cloud/posts/2019/11/28/releasing-my-first-responder-for-thehive/
https://github.com/aacgood/Cortex-Analyzers/tree/master/Responders/Reporter
现在我已经完成了关于thehive的系列文章，我开始通过编写自己的应答器来扩展这个DFIR平台的功能。应答器本质上是对给定情况、警报或可观察情况执行增强操作的一种方式。
来自Cortex GitHub存储库的内置应答器包括一个将案例或警报细节通过电子邮件发送给你的响应者，以及与CrowdStrike、QRadar、Umbrella和ZeroFox接口的应答器。这里唯一的限制是你的想象力。如果你想连接的系统有一个API接口来执行一个操作(比如阻止防火墙上的IP, IDS/IPS, WAF等)，那么你可以相应地编码一个应答器。即使您想执行某种独立的操作，您也可以这样做。
thehive - project维护了关于如何创建响应器的文档，如果你想沿着这条路走下去，这是一个很好的起点。
在这个实例中，我创建了一个应答器，它将简单地为运行应答器的情况创建一个Markdown报告。当让团队之外的人访问thehive并不是你想要做的事情时，向管理层提供一些报告或者作为事件结束后的分析是很有用的。
要安装这个应答器(以及存储库中所有将来的应答器)，有几个选项。
一、独立的文件
如果您选择不信任我发布的内容(您不应该这样做)，您可以从https://github.com/aacgood/Cortex-Analyzers/tree/master/Responders/Reporter获取文件副本，并将其放在您的cortex服务器上选择的目录中。
二、Git方法
如果您想用一种简单的方法获取新更改，那么使用git就是最好的选择。如果你正在构建自己的分析器和应答器，这也是我推荐的方法。
首先SSH到您的Cortex服务器并创建一个目录(在本例中我使用/opt/Cortex/github-aacgood)
克隆存储库：
cd /opt/cortex/github-aacgood
git clone https://github.com/aacgood/Cortex-Analyzers.git
注意：thehive提供的虚拟机，cortex的配置文件位置为：
root@thehive-training:/etc/cortex# pwd
/etc/cortex
系统默认是普通用户，请使用sudo passwd root 修改密码，获取root权限进行修改。
三、配置更新
在选择独立或git选项后，更新application.conf，告诉Cortex新的响应器存储库在哪里。这将在responder配置块下。
最后登录到cortex界面，选择Organization,Responder,Refresh Responders。如果响应器没有出现，检查文件的权限，并尝试再次刷新。
需要配置的相关参数：
注意需要使tmp_file_location的权限改变为thehive
并且需要使用pip3安装相关的依赖文件：
https://github.com/aacgood/Cortex-Analyzers/blob/master/Responders/Reporter/requirements.txt
四、运行应答器
thehive内的应答器将立即可用。这个响应器可以从一个案例中访问。
报告文件将保存在附件下的案例下载。有很多工具可以将Markdown转换成HTML/Word/PDF等等。
下面是报告的部分截图。
五、引擎盖下面
响应器是用python编写的，需要使用mdutils来生成Markdown。其他导入用于收集案例中的所有可观察对象、任务和任务日志条目。
然后脚本继续生成标题、案例摘要、案例描述、任务日志，案例可观察性将TLP协议的副本放到一个新页面上，并创建一个目录。最后，生成的Markdown被保存回案例中以供下载。
查看原始的Markdown文件看起来有点像垃圾，因为TLP图像作为base64图像存储在Markdown文件中。这样做是为了不需要将TLP图像存储在文档中，并且报告包含了所有内容。当它被渲染时，效果是ok的，promise;-)
结论
这不是我开发的第一个responde，但它是我第一次公开。这里有一些python的花括号当它涉及到如何提取数据和如何排序。最后，我认为它达到了它的目的。你的组织或团队会觉得这有用吗?我很乐意接受建议或改进，如果你想提交一个pull request或bug报告就更高兴了。我认为这个responder第一遍，我肯定可能有更多，可以包括。
如果你需要帮助，请随时联系我，我会看看我能做什么。
网友评论