nccgroup/ip-reputation-snort-rule-generatorUn outil pour générer des règles Snort à partir de données publiques de réputation IP.
Un outil pour générer des règles Snort ou des signatures Cisco IDS basées sur les données de réputation des IP/domaines publics
Publié en open source par NCC Group Plc - http://www.nccgroup.com/
Développé par Will Alexander, will dot alexander at nccgroup dot com
https://github.com/nccgroup/IP-reputation-snort-rule-generator
Publié sous AGPL, voir LICENSE pour plus d'informations
./tepig.pl [ [--file=LOCAL_FILE] | [--url=URL] ] [--csv=FIELD_NUM] [--sid=INITIAL_SID] [--ids=[snort|cisco]] | --help
LOCAL_FILE est un fichier stocké localement qui contient une liste de domaines malveillants, d'adresses IP et/ou d'URL. Si ce paramètre est omis, on suppose qu'une URL est fournie. URL est une URL qui contient une liste de domaines malveillants, d'adresses IP ou d'URL. La valeur par défaut est https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist. FIELD_NUM est le numéro de champ (indexé à partir de 0) qui contient l'information d'intérêt. Si ce paramètre est omis, le fichier est traité comme une simple liste. INITIAL_SID est le SID qui sera appliqué à la première règle. Chaque règle suivante incrémentera la valeur du SID. La valeur par défaut est 9000000.
./tepig.pl --url=https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist
https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist est un fichier texte brut contenant une liste d'adresses IP connues comme malveillantes. Au moment de la rédaction, la première entrée est 108.161.130.191. La première règle générée serait :
alert ip any any <> 108.161.130.191 any (msg:"Traffic to known bad IP (108.161.130.191)"; reference:"url,https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist"; sid:9000000; rev:0;)
Cette règle recherche tout trafic allant vers ou provenant de l'adresse IP malveillante.
./tepig.pl --url=http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt
http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt est un fichier texte brut contenant une liste de noms de domaines connus comme malveillants. Au moment de la rédaction, la première entrée est *.bethira.com. La première règle générée serait :
alert udp any any -> any 53 (msg:"Suspicious DNS lookup for *.bethira.com"; reference:"url,http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt"; content:"|01 00 00 01 00 00 00 00 00 00|"; depth: 10; offset: 2; content:"|07|bethira|03|com"; nocase; distance:0; sid:9000000; rev:0;)
Cette règle recherche toute requête DNS pour le domaine malveillant.
