RITA beacon detection

rita analyze -d <db>

Analiza los logs de Zeek con RITA para detectar beaconing (C2) por la periodicidad de las conexiones, no por firmas.

Ejecútalo cuando tengas los logs de Zeek del segmento y quieras detectar C2 sin depender de IOCs: RITA calcula métricas estadísticas sobre las conexiones — la periodicidad (el beaconing del C2 contacta con intervalos regulares), la duración, el tamaño y la similitud de los bytes — y genera un ranking de hosts y destinos con puntuación de beacon. Es la detección por comportamiento: el C2 que ningún IOC conoce se detecta por el ritmo de sus conexiones. En el hunting, rita analyze sobre los logs de la semana es el barrido que saca los beacons que las firmas no ven.

No lo uses sin logs de Zeek de calidad: RITA se alimenta de conn.log — sin el sensor viendo el segmento o con rotación corta, el análisis es parcial. El beaconing legítimo (actualizaciones, telemetría, heartbeats de aplicaciones) genera falsos positivos: las puntuaciones altas se revisan con contexto (el destino, el proceso en el endpoint) antes de declarar C2. Y ojo: RITA detecta periodicidad, no intención — el C2 con jitter (variación de intervalo) o el que usa protocolos sin conn.log detallado puntúa más bajo. Para el análisis continuo, rita import + analyze se programa como tarea; para el IR puntual, el análisis de la ventana del incidente.