Recherche
Chaque tableau de Red Kite a une barre de recherche qui comprend un langage de requête simple. Les filtres sont l'outil le plus utile de la plateforme : ils vous permettent de trouver les ressources qui vous intéressent, d'agir sur elles en lot et de définir des intels.
Commencez à taper dans la barre de recherche et Red Kite vous suggérera les filtres disponibles et leurs valeurs.
Syntaxe
Un filtre est une paire key:value. Plusieurs filtres sont séparés par des espaces.
project:"My project" port.service:ssh
- Des clés différentes sont combinées avec un ET. L'exemple ci-dessus affiche les ports SSH du projet My project.
- Une même clé répétée est combinée avec un OU.
port:80 port:443affiche les ports 80 ou 443. - Des guillemets sont nécessaires lorsqu'une valeur contient des espaces :
project:"My project". - Des caractères génériques (
*) peuvent être utilisés dans les valeurs textuelles :domain:*.example.comcorrespond à chaque sous-domaine deexample.com, ethost:10.0.*correspond aux IP qui commencent par10.0.. - Les comparaisons de texte sont insensibles à la casse.
Exclure des résultats
Ajoutez le préfixe - à un filtre pour exclure ce qu'il trouve. C'est très utile pour éliminer le bruit et examiner ce qui reste.
-is:blocked -port:80 -port:443
Ce filtre affiche les ports qui ne sont pas bloqués et qui ne sont ni 80 ni 443, ce qui est un moyen rapide de trouver les ports non standards.
Filtres de ressources
Ces filtres sont disponibles sur les pages de ressources (Domaines, Hôtes, Ports, Sites web, Plages IP). Tous les filtres ne s'appliquent pas à tous les types de ressources : les suggestions de la barre de recherche n'affichent que les filtres pertinents.
| Filtre | Exemple | Description |
|---|---|---|
project | project:"ACME Corp" | Ressources d'un projet. |
domain | domain:*.example.com | Ressources liées à un nom de domaine. |
host | host:1.2.3.4 | Ressources liées à l'IP d'un hôte. |
port | port:3389 | Ressources liées à un numéro de port. |
port.protocol | port.protocol:tcp | Ports tcp ou udp. |
port.service | port.service:ssh | Ports qui exécutent un service donné. |
port.product | port.product:openssh | Ports qui exécutent un produit donné. |
port.version | port.version:8.9* | Ports qui exécutent une version donnée d'un produit. |
ipRange | ipRange:10.0.0.0/8 | Ressources dans une plage IP. |
tag | tag:Critical | Ressources qui portent une étiquette. |
confidence | confidence.gte:likely | Ressources selon leur score de confiance. |
is | is:blocked, is:merged | Ressources bloquées, ou sites web fusionnés. |
finding | finding.WafFinding:exists | Ressources qui ont un finding donné. |
finding.key.field | finding.MyFinding.myField:"value" | Ressources dont un champ de finding a une valeur donnée. |
Le filtre confidence accepte les valeurs verified, likely, suspected et unlikely, avec les opérateurs confidence: (égal),
confidence.gte:, confidence.gt:, confidence.lte: et confidence.lt:. Un nombre entre 0 et 100 peut aussi être utilisé, par
exemple confidence.gte:60.
Sur la page d'une ressource, cliquer sur la valeur d'un champ texte d'un finding ouvre la liste des ressources filtrée avec
finding.key.field:"value". C'est un moyen simple de trouver toutes les autres ressources qui partagent cette même valeur, par exemple
la même technologie ou le même émetteur de certificat.
Filtres par défaut
Les pages de ressources masquent par défaut les ressources bloquées avec le filtre -is:blocked. La page Sites web masque aussi les
sites web fusionnés avec -is:merged. Retirez ces filtres pour tout voir, ou utilisez is:blocked pour ne voir que les ressources
bloquées.
Filtres d'intel
La page Intel prend en charge ses propres filtres :
| Filtre | Exemple | Description |
|---|---|---|
is | is:open, is:closed | Intels ouvertes (ouverte, validée, prête pour un nouveau test, régression) ou fermées (résolue, faux positif, risque accepté). |
status | status:regression | Intels ayant un statut donné. |
severity | severity:critical | Intels ayant une sévérité donn ée : informational, low, medium, high ou critical. |
project | project:"ACME Corp" | Intels d'un projet. |
intel | intel:"Exposed FTP server" | Enregistrements d'une définition d'intel donnée. |
Filtres de dates
Les tableaux de ressources ont un sélecteur de dates en haut à droite. Il filtre les ressources selon leur date vue pour la première fois, c'est-à-dire la date à laquelle Red Kite les a trouvées pour la première fois. C'est l'outil principal pour trouver ce qui a changé.
Les ressources trouvées au cours des sept derniers jours affichent une étiquette Nouveau!. Cliquer dessus filtre le tableau sur les ressources de la dernière semaine.
Agir sur les résultats
Les filtres ne servent pas qu'à consulter. Une fois un tableau filtré :
- Sélectionnez des ressources avec les cases à cocher, ou sélectionnez toute la page avec la case à cocher de l'en-tête.
- Pour aller au-delà de la page courante, cliquez sur Sélectionner les N éléments. L'action s'appliquera à chaque ressource correspondant au filtre, et pas seulement à celles qui sont visibles.
- Utilisez les boutons en haut du tableau pour étiqueter, bloquer, vérifier la propriété, supprimer ou exporter la sélection.
Voir Enrichissement des données pour le détail de chaque action.
Trouver ce qui a changé
Votre surface d'attaque change sans cesse : de nouveaux sous-domaines sont créés, des serveurs sont déplacés, des services sont ouverts pour un test et jamais refermés. Vérifier régulièrement ce qui est nouveau est la meilleure façon de la garder sous contrôle.
Chaque ressource a une date vue pour la première fois : la date à laquelle Red Kite l'a trouvée pour la première fois.
Sur les pages de ressources (Domaines, Hôtes, Ports, Sites web, Plages IP), utilisez le sélecteur de dates en haut à droite du tableau pour n'afficher que les ressources vues pour la première fois pendant une période. Par exemple, sélectionnez la dernière semaine pour voir tout ce qui est apparu depuis votre dernière révision.
Les ressources trouvées au cours des sept derniers jours affichent aussi une étiquette Nouveau!. Cliquez dessus pour filtrer le tableau sur les ressources de la dernière semaine.
Le filtre de dates peut être combiné avec n'importe quel autre filtre. Quelques combinaisons utiles :
| Ce que vous cherchez | Page | Filtre (avec le sélecteur de dates défini) |
|---|---|---|
| Nouveaux sous-domaines de votre domaine principal | Domaines | -is:blocked domain:*.example.com |
| Nouveaux ports, sauf les ports HTTP(S) | Ports | -is:blocked -port:80 -port:443 |
| Nouveaux ports sur vos hôtes vérifiés | Ports | -is:blocked confidence:verified |
| Nouveaux sites web | Sites web | -is:blocked -is:merged |
Ce qui est nouveau peut demander votre attention : vérifiez ou bloquez les nouvelles ressources, comme décrit dans Enrichissement des données.