arpsyndicate/suricata-vedasGenerazione autonoma guidata da VEDAS + contributi della community di regole Suricata e Nuclei per oltre 14.000 CVE
Questo repository è uno spazio di validazione aperto e collaborativo per il contenuto di rilevamento delle CVE:
La maggior parte delle firme è generata autonomamente dal Vulnerability & Exploit Data Aggregation System (VEDAS) di ARPSyndicate. L'IA ci consente di creare contenuti di rilevamento rapidamente e su larga scala a partire dall'intelligence su vulnerabilità ed exploit. Un rilevamento affidabile richiede comunque trasparenza, revisione umana e test nel mondo reale, perciò il contenuto è pubblicato qui affinché la community possa rivederlo, validarlo, correggerlo ed estenderlo tramite issue e pull request.
15.048 CVE uniche coperte. La maggior parte dispone sia di una regola Suricata che di un template Nuclei; 541 CVE distruttive o DoS sono solo a rilevamento di rete — una regola Suricata passiva senza controllo Nuclei attivo (elencate in SURICATA_ONLY.txt).
| Anno CVE | Firme Suricata | Firme Nuclei |
|---|---|---|
| 1999 | 6 | 6 |
| 2000 | 20 | 20 |
| 2001 | 27 | 24 |
| 2002 | 84 | 84 |
| 2003 | 74 | 72 |
| 2004 | 193 | 191 |
| 2005 | 538 | 537 |
| 2006 | 1.434 | 1.431 |
| 2007 | 1.182 | 1.170 |
| 2008 | 1.860 | 1.839 |
| 2009 | 870 | 859 |
| 2010 | 713 | 707 |
| 2011 | 212 | 206 |
| 2012 | 362 | 340 |
| 2013 | 257 | 234 |
| 2014 | 367 | 341 |
| 2015 | 250 | 236 |
| 2016 | 176 | 166 |
| 2017 | 444 | 413 |
| 2018 | 647 | 595 |
| 2019 | 453 | 421 |
| 2020 | 571 | 537 |
| 2021 | 775 | 733 |
| 2022 | 746 | 726 |
| 2023 | 784 | 756 |
| 2024 | 915 | 833 |
| 2025 | 574 | 552 |
| 2026 | 519 | 478 |
suricata/<YYYY>/CVE-YYYY-NNNNN.rules # one file per CVE, one rule per line
nuclei/<YYYY>/CVE-YYYY-NNNNN.yaml # one template per CVE
payloads/ # self-hosted PoC payloads (SVG/DTD/CSV/…) so checks need no external host
scripts/ # validation tooling used by CI (run it locally too)
.github/ # CI workflows, issue forms, PR template
<YYYY> è l'anno della CVE, non l'anno in cui è stata scritta la firma.
Suricata (testato su Suricata 8.x):
cat suricata/*/*.rules > vedas.rules
suricata -T -c /etc/suricata/suricata.yaml -S vedas.rules # test-load first
Oppure aggiungi la directory a rule-files: in suricata.yaml. I SID 1000000-1999999 provengono da VEDAS e 3000000-3999999 dalla community. Nessuno dei due intervalli si sovrappone a ET Open.
Nuclei (testato su Nuclei v3):
nuclei -t nuclei/ -u https://target.example
Esegui la scansione solo dei sistemi per cui sei autorizzato a eseguire test.
Ogni tipo di contributo è benvenuto:
| Vuoi... | Fai questo |
|---|---|
| Segnalare una regola che scatta su traffico benigno | Segnalazione falso positivo |
| Segnalare una regola che non rileva un reale sfruttamento | Segnalazione falso negativo |
| Segnalare una regola che non si carica o è lenta | Segnalazione firma non funzionante |
| Richiedere la copertura di una CVE | Richiesta firma |
| Correggere o aggiungere una firma | Apri una pull request: vedi CONTRIBUTING.md |
Ogni pull request viene verificata automaticamente. Deve caricarsi nei motori reali Suricata/Nuclei e superare il lint del repository, e la CVE di destinazione deve esistere su cve.org. Puoi eseguire gli stessi controlli in locale prima di effettuare il push (vedi CONTRIBUTING.md).
Le firme generate da VEDAS sono validate solo sintatticamente. Nella maggior parte dei casi non è stato eseguito alcun test logico. Valida ogni firma nel tuo ambiente prima di distribuirla. Le firme revisionate dalla community sono contrassegnate come tali nella cronologia delle loro pull request. Questo contenuto è fornito così com'è, senza garanzie di alcun tipo (vedi LICENSE).
Le firme sono autonome e adatte ad ambienti on-premise: ogni payload PoC necessario a un controllo è memorizzato in payloads/ e servito da questo repository, senza dipendenze da host di terze parti.
VEDAS aggrega intelligence disponibile pubblicamente (OSINT) da tutto internet — database di vulnerabilità, advisory, pubblicazioni di exploit e PoC, set di regole di rilevamento e ricerche condivise da vendor, CERT, ricercatori indipendenti e dalla più ampia community della cybersecurity. Questo feed è costruito su tale conoscenza collettiva e siamo grati a tutti coloro che vi contribuiscono. Laddove una specifica logica di rilevamento è stata adattata da un progetto con licenza aperta — in particolare projectdiscovery/nuclei-templates (MIT) — il riconoscimento è riportato in NOTICE. I contributori della community sono accreditati nel campo info.author di ciascun template e nella cronologia delle pull request.
Segnala privatamente eventuali problemi di sicurezza negli strumenti di questo repository. Vedi SECURITY.md.