st2labs/sipiHerramientas simples de información IP para análisis de datos de reputación
#Simple IP Information Tools (sIPI) ##para Análisis de Datos de Reputación IP
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
Autor: Julian J. Gonzalez Caracuel - Twitter: @rhodius | @seguriadxato2 | @st2labs
Versión: 0.1
Esta herramienta está dirigida a equipos de respuesta a incidentes y a cualquier persona que quiera conocer el comportamiento de una dirección IP "sospechosa". La herramienta realiza búsquedas de información de reputación a partir de un conjunto de fuentes de inteligencia de amenazas abiertas. Información sobre esta IP como actividad de malware, actividad maliciosa, listas negras, spam y actividad de botnets.
Dependencias:
Instalación:
pip install requests & easy_install shodan
git clone "repositori"
config API token into config.json
try: $> python sipi.py any_ip -A
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
sIPi - es una herramienta de reconocimiento gratuita para obtener información de direcciones IP de muchas fuentes abiertas: cymon.io | shoda.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Version: 0.1
Es una herramienta que analiza una IP o lista de IP, obteniendo como resultado información sobre:
- reputación / actividad
- nivel de exposición
- geolocalización
Reputación / detección de la IP en lista negras según las siguientes categorias:
Source: cymon.io - Cymon is the largest open tracker of malware, phishing, botnets, spam, and more
['malware',
'botnet',
'spam',
'phishing',
'malicious activity',
'blacklist',
'dnsbl']
Nivel de exposición:
Source: shodan.io - Shodan is the world's first search engine for Internet-connected devices.
Obtiene información toda la dirección IP que tiene SHODAN sobre la dirección IP, dependiendo del nivel de acceso al motor SHODAN
se podra obtener información con mayor cantidad de datos (número de puertos, banner, geolocalización)
Geolocalización:
Source: ipinfo.io
Obtiene información simple de la dirección IP, geolocalización e información sobre el ASN, permite un ratio de 1000/day
cymon.io - Necesita token de autenticación - usuario registrado ratio: 1000/days
shodan.io - Necesita token de autenticación - usuario registrado limite 100 resultados, puertos limitados
La configuración de los token, se introduce en Fichero: config.json, que debe estar en el directorio donde se ejecuta sipi.py << El token API de todos los servicios se configura en un archivo "config.json" ubicado en el directorio raíz >>
Dependencias
requests
pip install requests
shodan
easy_install shodan
Linux & Windows
Buscar información en todas las categorias de reputación, nivel de exposición & ip información
Obtener información de un archivo de lista de IP en todas las categorías de cymon, y añade información de Shodan e IPInfo
$> python sipi.py list_ip -A -s -i
Obtener información sobre la IP en lista de SPAM, nivel de exposición & ip información
Obtener información de un archivo de lista de IP solo en la categoría SPAM de cymon, y añade información de Shodan e IPInfo
$> python sipi.py list_ip -t spam -s -i
Obtener información sobre la lista de IP en reputación a nivel de Malware
Obtener información de un archivo de lista de IP solo en la categoría MALWARE de cymon con hace 1 día y límite de 1000 entradas
$> python sipi.py list_ip -t malware -d 1 -l 1000
-d <days[1-3]> Solamente se puede analizar el nivel de reputación de la IP hace 3 días
Si no encuentras nada, quizás los eventos ocurrieron hace más de 3 días, prueba a usar la opción -d 4
Para más de 3 días utilizar -d 4
-l <limite> Controlar el número de resultados donde analizar la IP - Default: 100
$> python sipi.py lista.txt -d 4 -A
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
sIPi - is a free recorn tool for obtain IP Address Information from
many Open Sources: cymon.io | shoda.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Version: 0.1
[!] Esta IP ['83.55.23.240s'] no es válida y ha sido eliminada de la búsqueda
Si los días son más de 3, el modo de cambio automático está activo
[ip_blacklist > ip_events] to obtain Ip Info
++++++++++++++++++++++++++++++++++++++
+ Información obtenida de: http://cymon.io +
+ Comprobando ip_events
++++++++++++++++++++++++++++++++++++++
+---------------------------------+
+-Events for IP:93.76.61.78
+---------------------------------+
+--
[!] IP 93.76.61.78 encontrada en lista negra de actividad maliciosa
Detectada por: [u'esentire threat labs']
--+
[NOT_FOUND] IP 93.76.61.78 en estas CATEGORÍAS:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Events for IP:93.183.250.196
+---------------------------------+
+--
[!] IP 93.183.250.196 encontrada en lista negra de actividad maliciosa
Detectada por: [u'esentire threat labs']
--+
[NOT_FOUND] IP 93.183.250.196 en estas CATEGORÍAS:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Events for IP:176.101.204.172
+---------------------------------+
+--
[!] IP 176.101.204.172 encontrada en lista negra de actividad maliciosa
Detectada por: [u'esentire threat labs']
--+
[NOT_FOUND] IP 176.101.204.172 en estas CATEGORÍAS:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
Este es software libre; puedes redistribuirlo y/o modificarlo bajo los términos de la Licencia Pública General GNU publicada por la Free Software Foundation, versión 2 de la Licencia.
Esto se distribuye con la esperanza de que sea útil, pero SIN NINGUNA GARANTÍA; sin siquiera la garantía implícita de MERCANTIBILIDAD o IDONEIDAD PARA UN PROPÓSITO PARTICULAR. Consulte la Licencia Pública General GNU para más detalles.
Deberías haber recibido una copia de la Licencia Pública General GNU junto con esto; si no, escribe a la Free Software Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA