Ceplin: Siber Güvenlik Soruşturmalarını Hızlandıran CLI Aracı

Bir güvenlik analisti olarak tab'lar arasında gidip gelme sıkıntısı çekiyorsan, Ceplin bunu bitiriyor. Geliştirici, şüpheli bir IP veya domain'i manuel olarak AbuseIPDB'ye, sonra urlscan'e, sonra WHOIS'e girmek yerine tek bir komut satırı aracıyla tüm bu kontrolleri yapabilmek için Ceplin'i yazmış.

Araç, bir gösterge (indicator) yazıyorsun ve o verinin ne tür pivotsunun mümkün olduğunu görüyorsün. Sonra bir rapordaki bir alanı alıp başka bir sorguya aktarabiliyorsün:

1"suspicious-domain.com".urlscan()[final_url]

Bu, domain'in en son urlscan.io taramasından sadece son URL'yi döndürüyor. Daha da ileri gidebilirsin:

1"suspicious-domain.com".urlscan()[final_url].dns()[a]

Burada son URL'nin DNS A kaydı getiriliyor.

Desteklenen API'ler arasında AbuseIPDB, urlscan.io, AlienVault OTX, Cert Spotter, crt.sh, IP2Location.io, RDAP (WHOIS), RIPEstat, Team Cymru, MalwareBazaar ve CIRCL hashlookup var. Kendi API anahtarlarını ortam değişkenlerinden okuyor.

İlginç bir özelliği de yerel kod dekodlaması ve şüpheli komutları LLM olmadan tanıyabiliyor. İkili dosyaları açıklayabiliyor, bayraklarını bulabiliyor, Sigma kurallarını ve ATT&CK tekniklerini doğrudan referanslardan eşleştiriyor. Bu, hızlı triaj için çok faydalı.