O ponto de estrangulamento de toda equipe Blue Team não é a inteligência. É o tempo que se perde trocando de ferramenta.
Um analista de SOC usa, em média, entre 6 e 12 ferramentas diferentes para investigar um único incidente.
Abre o VirusTotal, depois o Shodan, depois o AbuseIPDB, depois o TheHive para abrir o caso, depois o Wazuh para ver os alertas correlacionados.
O Gjallarhorn nasceu para acabar com esse problema. Uma única plataforma que centraliza a investigação, a análise, a perícia e a gestão de casos, com todas as integrações SOC de que uma equipe Blue Team precisa.
ferramentas diferentes um analista de SOC usa por incidente
do tempo de um analista se perde em tarefas manuais e troca de contexto
fontes de threat intelligence integradas no Gjallarhorn
Tudo o que um analista Blue Team precisa. Em um só lugar.
Cada módulo do Gjallarhorn existe porque um analista precisou dele em produção. Não são funcionalidades de catálogo, são ferramentas reais para ameaças reais.
Investigação de IOC
Você informa um IP, domínio, hash ou URL e o Gjallarhorn o cruza em tempo real contra mais de 20 fontes de threat intelligence: VirusTotal, Shodan, AbuseIPDB, AlienVault OTX, GreyNoise, Criminal IP, URLScan e outras. Em segundos você tem o score consolidado, os veredictos de cada fonte e o histórico completo de investigações da equipe. O que antes era copiar e colar entre abas, agora é um clique.
Análise de malware
Análise estática de arquivos suspeitos sem executá-los, com risco zero de contaminação. Suporta PE (.exe, .dll, .sys), scripts (.ps1, .bat, .js, .vbs), documentos Office, PDFs e arquivos compactados. Detecta assinaturas de ransomware conhecido, beacons de Cobalt Strike, frameworks de C2, técnicas de ofuscação e comportamento malicioso. Cada análise fica no histórico com hash SHA-256, score e veredicto para correlação futura.
Perícia de e-mail
Você arrasta um arquivo .eml e o Gjallarhorn o disseca por completo. Valida a autenticação SPF, DKIM e DMARC. Extrai e analisa todos os IOCs presentes em cabeçalhos, corpo e anexos. Detecta padrões de phishing, BEC (Business Email Compromise) e engenharia social. Traça a rota completa da mensagem pelos servidores de salto. O que antes tomava 30 minutos de um analista experiente, leva segundos.
Gestão de casos
Cada incidente e achado de segurança gerenciado em um só lugar: abertura, atribuição, severidade, status e encerramento. Sincronização bidirecional com o TheHive, os casos são criados no Gjallarhorn e aparecem automaticamente no TheHive, e vice-versa. Classificação por TLP (AMBER, RED, GREEN, WHITE), filtros por status e severidade, e rastreabilidade completa do ciclo de vida de cada incidente.
Integrações SOC nativas
O Gjallarhorn se conecta com as ferramentas que você já usa. TheHive para gestão de casos, Wazuh para SIEM e EDR, Velociraptor para perícia ao vivo em endpoints, Nessus e OpenVAS para vulnerabilidades. A configuração é por API key, sem agentes adicionais, sem configurações complexas. O dashboard mostra o estado de cada integração em tempo real e reúne todos os eventos em uma visão unificada.
Correlação e resposta automática
Quando o Wazuh ou o Suricata detectam um evento, o Gjallarhorn investiga os IOCs envolvidos e, se o score passa do limite, abre o caso enriquecido sem intervenção humana. A resposta se monta em um editor visual de playbooks: passos em ordem, cada um com sua condição, que avisam por e-mail, bloqueiam o IP no feed, isolam o equipamento comprometido com uma resposta ativa do Wazuh ou lançam uma varredura do OpenVAS. O analista chega de manhã e encontra o incidente já investigado, classificado e contido.
Sandbox de análise dinâmica
O arquivo suspeito é detonado em um ambiente isolado e se observa o que ele faz: processos que dispara, alterações no registro, arquivos que escreve e para onde tenta se conectar. Roda contra o CAPE, e do resultado saem os indicadores já extraídos e o caso aberto com a evidência vinculada, sem recarregar nada na mão.
Editor de regras de detecção
O que se aprende investigando vira detecção. O editor gera regras Sigma e YARA a partir dos indicadores do caso e as traduz para as consultas do SIEM que a organização usa. A investigação deixa de terminar em um relatório e passa a deixar uma regra no ar.
Compartilhamento de inteligência
Os achados são exportados em STIX 2.1, o formato padrão para compartilhar inteligência de ameaças, e as técnicas observadas são mapeadas sobre o MITRE ATT&CK. Serve para reportar a um CERT, alimentar outra plataforma ou mostrar à diretoria quais técnicas estão aparecendo.
Separação por organização
Uma única instalação pode atender várias organizações com a informação de cada uma completamente isolada das demais, com suas próprias integrações e suas próprias chaves de API. É o que permite operar um SOC para terceiros sem montar uma instância por cliente.
Monitoramento de infraestrutura
Saber que um servidor parou de responder não deveria depender de alguém ligar por telefone. O Gjallarhorn mede por conta própria os equipamentos que você indicar, por ping, por porta ou por resposta web, e avisa por e-mail quando algo cai e quando volta. Se você já tem um Zabbix rodando, ele integra e traz os equipamentos e os alertas para a mesma tela, para não ser preciso olhar dois sistemas para saber se a rede está de pé. Cada equipamento pode ser nomeado como a sua organização o chama, e a sondagem informa qual sistema operacional ele tem e quais portas expõe.
Inventário de ativos de TI
Antes de proteger algo é preciso saber que existe. O Gjallarhorn monta o inventário de equipamentos com o que a sua organização já tem: o que ele mesmo mede, o que o seu Zabbix administra e o que está cadastrado no seu GLPI. O mesmo equipamento fica em uma única ficha ainda que três ferramentas diferentes o reportem, com o número de série que uma traz, o endereço que outra traz e o estado que ele mede. Quando duas ferramentas dizem coisas diferentes do mesmo equipamento, ele mostra isso em vez de escolher uma: essa diferença quase sempre significa que o inventário está desatualizado, e é informação de que a análise de risco precisa.
Gestão de WAF
Gerencie o firewall de aplicação (ModSecurity sobre nginx) de um ou vários servidores a partir do SOC, sem entrar por SSH. Um agente em cada servidor é o único com permissões; o Gjallarhorn vê o estado, traz as métricas do log de auditoria, alterna entre detecção e bloqueio e ajusta as regras, sempre validando a configuração antes de recarregar e com reversão automática se algo falhar.
Migração do TheHive
Se você vem do TheHive, traz seus casos para o Gjallarhorn em um passo. A importação é idempotente (deduplica pelo identificador de origem), mapeia severidade, estado e TLP, traz os observáveis e, ao terminar, desliga a integração. Se algo não bate, desfaz sem tocar nos casos próprios.
Isto não é um protótipo. É o Gjallarhorn funcionando.
Vinte e sete segundos de percurso real: o relatório executivo do SOC, a investigação de um indicador contra dez fontes de inteligência, um beacon de Cobalt Strike detectado dentro de uma planilha, a detonação de uma amostra em sandbox e a perícia de um e-mail de phishing.
Clique aqui e solicite uma demonstração ao vivo com a nossa equipe. Percorremos a plataforma inteira com você, módulo por módulo, com o seu cenário sobre a mesa e respondendo tudo o que quiser perguntar.
O sandbox roda sobre o CAPE auto-hospedado e devolve o comportamento observado, as conexões de rede, os processos e os arquivos soltados. Como é próprio, a amostra não sai da organização, que é justamente o que impede usar um serviço público quando o arquivo é de um cliente.
Cada indicador é consultado em paralelo contra VirusTotal, AlienVault OTX, ThreatFox, MalwareBazaar, URLhaus, AbuseIPDB, Shodan, Criminal IP, IPQualityScore e URLScan. O painel mostra o que cada uma respondeu e com qual taxa de detecção, assim o analista vê no que o número se apoia.
SPF, DKIM e DMARC, a cadeia de cabeçalhos, a detecção de fraude ao CEO e os indicadores extraídos do corpo. A maioria dos incidentes entra por aqui, e um link limpo em um e-mail mal autenticado continua sendo um problema.
Cada resultado traz o botão para abrir o caso, com a evidência que o originou já dentro. É o passo em que metade do trabalho se perde quando a investigação vive em uma aba e a gestão em outra.
Wazuh, Suricata, OpenVAS, Nessus, Velociraptor, TheHive e Shuffle se conectam e reportam seu estado no mesmo painel. Não substitui o stack defensivo, coloca nele a camada que faltava para o analista não pular de console em console.
O Gjallarhorn cresce a cada investigação real
Não é uma plataforma terminada, é um sistema vivo que incorpora novas capacidades à medida que os analistas da AllSafe precisam delas em produção.
v1.0, núcleo SOC
Plataforma base, com as integrações e a análise que sustentam a operação diária.
v1.2, sandbox e regras de detecção
Análise dinâmica de malware desconhecido, e a regra de detecção gerada a partir do próprio caso.
v1.3, resposta automática e reporting
O circuito passa de detectar a agir, e os relatórios se geram sozinhos.
v1.4, várias organizações em uma instalação
Isolamento total da informação por organização, sobre a mesma instância.
v1.5, inventário de ativos e monitoramento de infraestrutura
Saber quais equipamentos existem e se estão de pé, sem depender de que alguém avise.
v1.6, migração de plataformas de terceiros
Trazer os casos de um TheHive existente sem começar do zero.
v1.8, gestão de WAF
Gerenciar o firewall de aplicação do servidor a partir do SOC, sem entrar por SSH.
v1.9, resposta automática avançada
Respostas de vários passos, configuráveis sem escrever código.
v2.0, orquestração com a equipe ofensiva
Ponte opcional com o Gungnir para alinhar a defesa e o pentest.
v3.0, IA local e na nuvem
Integração de modelos de linguagem para automatizar processos da plataforma, com o modelo rodando dentro da infraestrutura ou na nuvem, à escolha.
Não é mais uma camada em cima das suas ferramentas. É a camada que faltava.
Construído por analistas de segurança que se cansaram de perder tempo entre ferramentas que não conversam entre si.
Integração, não substituição
Conecta-se com TheHive, Wazuh, Velociraptor e Nessus por API. Não substitui as suas ferramentas, faz com que trabalhem juntas pela primeira vez.
Desenhado para SOC reais
Cada recurso existe porque um analista da AllSafe precisou dele em uma investigação real. Não há demos vazias nem recursos de catálogo.
RBAC + 2FA desde o dia 1
JWT com autenticação de dois fatores TOTP, controle de acesso por papéis e rate limiting. A segurança da ferramenta de segurança não é opcional.
Suporte de quem o construiu
Você não compra uma licença e fica sozinho. A equipe AllSafe que desenvolveu o Gjallarhorn acompanha você na implementação, configuração e integração.
Quero o Gjallarhorn no meu SOC
Preencha o formulário e um especialista da AllSafe entrará em contato para avaliar o seu ambiente, mostrar a plataforma funcionando e desenhar a implementação para a sua equipe.
Você sabia que existe o Gjallarhorn Community?
Versão gratuita e open source (AGPL-3.0) com os módulos centrais da plataforma: investigação de IOC, análise de malware, perícia de e-mail, gestão de casos e integrações SOC. Livre para sempre, código auditável, pronto para implantar.