st2labs/sipiOutils simples d'information IP pour l'analyse de données de réputation
#Outils d'information IP simples (sIPI) ##pour l'analyse des données de réputation IP
[[@st2labs]] Outil d'information IP simple [[@st2labs]]
Auteur: Julian J. Gonzalez Caracuel - Twitter: @rhodius | @seguriadxato2 | @st2labs
Vesion: 0.1
Cet outil est destiné aux équipes de réponse aux incidents et à toute personne souhaitant connaître le comportement d'une adresse IP « suspecte ». L'outil recherche des informations de réputation à partir d'un ensemble de sources de renseignement sur les menaces en libre accès. Il fournit des informations sur cette IP comme l'activité de malware, l'activité malveillante, les listes noires, le spam et l'activité botnet.
Dépendances:
Installation:
pip install requests & easy_install shodan
git clone "repositori"
config API token into config.json
try: $> python sipi.py any_ip -A
[[@st2labs]] Outil d'information IP simple [[@st2labs]]
sIPi - est un outil de reconnaissance gratuit pour obtenir des informations sur les adresses IP à partir de
de nombreuses sources ouvertes : cymon.io | shoda.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Version: 0.1
C'est un outil qui analyse une IP ou une liste d'IP et fournit des informations sur :
- réputation / activité
- niveau d'exposition
- géolocalisation
Réputation / détection de l'IP dans des listes noires selon les catégories suivantes :
Source : cymon.io - Cymon est le plus grand traqueur ouvert de malware, phishing, botnets, spam, etc.
['malware',
'botnet',
'spam',
'phishing',
'malicious activity',
'blacklist',
'dnsbl']
Niveau d'exposition :
Source : shodan.io - Shodan est le premier moteur de recherche mondial pour les appareils connectés à Internet.
Obtient toutes les informations que SHODAN possède sur l'adresse IP, selon le niveau d'accès au moteur SHODAN
on peut obtenir des informations avec une plus grande quantité de données (nombre de ports, bannière, géolocalisation)
Géolocalisation :
Source : ipinfo.io
Obtient des informations simples sur l'adresse IP, la géolocalisation et des informations sur l'ASN, avec une limite de 1000/jour
cymon.io - Nécessite un jeton d'authentification - utilisateur enregistré, limite : 1000/jour
shodan.io - Nécessite un jeton d'authentification - utilisateur enregistré, limite 100 résultats, ports limités
La configuration des jetons se fait dans le fichier config.json, qui doit se trouver dans le répertoire d'exécution de sipi.py << Les jetons API de tous les services sont configurés dans un fichier nommé "config.json" placé dans le répertoire racine >>
Dépendances
requests
pip install requests
shodan
easy_install shodan
Linux & Windows
Rechercher des informations dans toutes les catégories de réputation, niveau d'exposition et informations IP Obtenir des informations sur une liste d'IP dans toutes les catégories de cymon, et ajouter les informations de Shodan & IPInfo $> python sipi.py list_ip -A -s -i
Obtenir des informations sur l'IP dans la liste SPAM, niveau d'exposition et informations IP Obtenir des informations sur une liste d'IP uniquement dans la catégorie SPAM de cymon, et ajouter les informations de Shodan & IPInfo $> python sipi.py list_ip -t spam -s -i
Obtenir des informations sur la liste d'IP en réputation au niveau Malware Obtenir des informations sur une liste d'IP uniquement dans la catégorie MALWARE de cymon avec un délai de 1 jour et une limite de 1000 entrées $> python sipi.py list_ip -t malware -d 1 -l 1000
-d <jours[1-3]> Vous ne pouvez analyser le niveau de réputation de l'IP que sur les 3 derniers jours
Si vous ne trouvez rien, il se peut que les événements datent de plus de 3 jours, essayez l'option -d 4
Pour plus de 3 jours, utilisez -d 4
-l <limite> Contrôler le nombre de résultats pour analyser l'IP - Défaut : 100
$> python sipi.py lista.txt -d 4 -A
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
sIPi - is a free recorn tool for obtain IP Address Information from
many Open Sources: cymon.io | shoda.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Version: 0.1
[!] This IP ['83.55.23.240s'] is not valid & have been removed from searching
If days more than 3, auto change mode is active
[ip_blacklist > ip_events] to obtain Ip Info
++++++++++++++++++++++++++++++++++++++
+ Info obtain from: http://cymon.io +
+ Checking for ip_events
++++++++++++++++++++++++++++++++++++++
+---------------------------------+
+-Events for IP:93.76.61.78
+---------------------------------+
+--
[!] IP 93.76.61.78 found in malicious activity BlackList
Detected by: [u'esentire threat labs']
--+
[NOT_FOUND] IP 93.76.61.78 in this CATEGORIES:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Events for IP:93.183.250.196
+---------------------------------+
+--
[!] IP 93.183.250.196 found in malicious activity BlackList
Detected by: [u'esentire threat labs']
--+
[NOT_FOUND] IP 93.183.250.196 in this CATEGORIES:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Events for IP:176.101.204.172
+---------------------------------+
+--
[!] IP 176.101.204.172 found in malicious activity BlackList
Detected by: [u'esentire threat labs']
--+
[NOT_FOUND] IP 176.101.204.172 in this CATEGORIES:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
Ce logiciel est libre ; vous pouvez le redistribuer et/ou le modifier
selon les termes de la GNU General Public License telle que publiée par
la Free Software Foundation, version 2 de la Licence.
Ce logiciel est distribué dans l'espoir qu'il sera utile,
mais SANS AUCUNE GARANTIE ; sans même la garantie implicite de
COMMERCIALISATION ou D'ADAPTATION À UN USAGE PARTICULIER. Voir la
GNU General Public License pour plus de détails.
Vous devriez avoir reçu une copie de la GNU General Public License
avec ce logiciel ; sinon, écrivez à la Free Software
Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA