Rusiem Incident Enrich

Данный скрипт автоматически обогащает инциденты в системе Rusiem SIEM. Он получает список инцидентов через API SIEM, собирает дополнительную информацию об IP-адресах-источниках (WHOIS, DNS, ASN, страна, город, имя хоста) и обновляет комментарии инцидентов этой расширенной информацией. Это позволяет оперативно получать контекст по каждому инциденту и ускоряет расследование и реагирование.

Setup

1. Create and activate virtual environment:

# Create virtual environment
python3 -m venv venv

# Activate virtual environment
# On Linux/Mac:
source venv/bin/activate
# On Windows:
.\venv\Scripts\activate

1. Install dependencies:

pip install -r requirements.txt

1. Configure the application:

• Copy config.yaml.example to config.yaml
• Edit config.yaml with your settings

Usage

After setting up the virtual environment and installing dependencies, you can run the script:

./enrich.sh

Deactivating Virtual Environment

To deactivate the virtual environment when you’re done:

deactivate