nccgroup/ip-reputation-snort-rule-generatorEin Tool zum Generieren von Snort-Regeln basierend auf öffentlichen IP-Reputationsdaten.
Ein Tool zur Generierung von Snort-Regeln oder Cisco-IDS-Signaturen basierend auf öffentlichen IP-/Domain-Reputationsdaten
Veröffentlicht als Open Source von NCC Group Plc - http://www.nccgroup.com/
Entwickelt von Will Alexander, will dot alexander at nccgroup dot com
https://github.com/nccgroup/IP-reputation-snort-rule-generator
Veröffentlicht unter AGPL – siehe LICENSE für weitere Informationen
./tepig.pl [ [--file=LOCAL_FILE] | [--url=URL] ] [--csv=FIELD_NUM] [--sid=INITIAL_SID] [--ids=[snort|cisco]] | --help
LOCAL_FILE ist eine lokal gespeicherte Datei, die eine Liste von schädlichen Domains, IP-Adressen und/oder URLs enthält. Wenn weggelassen, wird angenommen, dass eine URL bereitgestellt wird. URL ist eine URL, die eine Liste von schädlichen Domains, IP-Adressen oder URLs enthält. Der Standardwert ist https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist. FIELD_NUM ist die Feldnummer (beginnend mit 0), die die relevante Information enthält. Wenn weggelassen, wird die Datei als einfache Liste behandelt. INITIAL_SID ist die SID, die auf die erste Regel angewendet wird. Jede nachfolgende Regel erhöht den SID-Wert. Der Standardwert ist 9000000.
./tepig.pl --url=https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist
https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist ist eine Klartextdatei, die eine Liste bekannter schädlicher IP-Adressen enthält. Zum Zeitpunkt der Erstellung ist der erste Eintrag 108.161.130.191. Die erste Regelausgabe wäre:
alert ip any any <> 108.161.130.191 any (msg:"Traffic to known bad IP (108.161.130.191)"; reference:"url,https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist"; sid:9000000; rev:0;)
Diese Regel sucht nach jeglichem Datenverkehr, der zu oder von der schädlichen IP-Adresse geht.
./tepig.pl --url=http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt
http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt ist eine Klartextdatei, die eine Liste bekannter schädlicher Domainnamen enthält. Zum Zeitpunkt der Erstellung ist der erste Eintrag *.bethira.com. Die erste Regelausgabe wäre:
alert udp any any -> any 53 (msg:"Suspicious DNS lookup for *.bethira.com"; reference:"url,http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt"; content:"|01 00 00 01 00 00 00 00 00 00|"; depth: 10; offset: 2; content:"|07|bethira|03|com"; nocase; distance:0; sid:9000000; rev:0;)
Diese Regel sucht nach jeglicher DNS-Abfrage für die schädliche Domain.
