Hashes para verificar el script original (OBSOLETO) de generación de reglas (siginthombre.py) .

• MD5: 2dcadececf1ac430cd2c98e323154148
• SHA256: 1f32b7c2d890ed6910c716a9a976abb2701954733cd59db5a97344766f9c4691

Qué hace

• Obtiene el feed público de URLhaus en tiempo real (no reflejado ni redistribuido)
• Omite:
  • Comentarios, líneas vacías, URL malformadas y autorreferencias del feed
• Normaliza y extrae:
  • Protocolo, host, ruta URI y puerto
  • Deduplica hosts en claves de reglas consistentes
• Genera alertas Suricata originales y derivadas para 3 capas:
  1. HTTP → host + ruta URI, cualquier puerto si no se especifica (máxima cobertura)
  2. TLS → detección HTTPS mediante SNI (tls.sni) solamente
  3. DNS → visibilidad de búsqueda de dominio mediante dns.query
• Lógica de deduplicación:
  • HTTP → (host, path)
  • HTTPS/TLS → host
  • DNS → host
• Escribe todas las alertas en un archivo de reglas combinado único
• Reinicia las reglas de Suricata (so-suricata-restart --force)

Compatibilidad y atribución del feed de amenazas

• Construido de forma independiente por el autor
• Diseñado para compatibilidad con la plataforma Security Onion
• No afiliado, respaldado ni soportado por Security Onion LLC
• Security Onion es una marca registrada de Security Onion LLC, reconocida aquí solo con fines de identificación
• Fuente del feed de amenazas: URLhaus, un servicio operado por abuse.ch
• abuse.ch es una marca registrada de abuse.ch y se reconoce como tal

Salida de reglas (generada en tiempo de ejecución)

/opt/so/rules/suricata/siginthombre.rules

• Contiene solo lógica de detección generada y derivada
• No es un espejo del feed, base de datos ni redistribución de IOC
• El archivo se sobrescribe en cada ejecución para evitar indicadores obsoletos

Resultado

Proporciona una amplia cobertura de detección de red para infraestructura maliciosa en:

• Solicitudes HTTP (con o sin puertos explícitos)
• Handshakes TLS mediante SNI
• Consultas de dominio DNS

Licencia y aviso de redistribución

• Licencia Apache 2.0 (permisiva, TAL CUAL, sin garantía)
• Las reglas de Suricata son contenido original y derivado generado en tiempo de ejecución
• Este proyecto no redistribuye ni archiva bases de datos o feeds de IOC de terceros
• No afiliado a abuse.ch ni a Security Onion LLC

Aviso de implementación

Valide las reglas generadas antes de usarlas en producción.
No se proporciona responsabilidad. El autor no es responsable por daños o mal uso. Úselo bajo su propio riesgo.

Ejemplo de uso con cron (ejecutar una vez por hora)

0 * * * * /usr/local/bin/siginthombre.py

Construido para defensores que quieren lógica de detección de reglas dinámicas rápidas y frescas

Todos los dominios e IPs mostrados aquí son indicadores maliciosos compartidos públicamente consumidos de feeds de amenazas de terceros para demostrar detecciones de alertas de Suricata usando siginthombre. No visite ni interactúe con estos dominios o IPs fuera de un entorno controlado de investigación o pruebas de SOC.