Hash per verificare lo script originale (DEPRECATO) di generazione regole (siginthombre.py).

• MD5: 2dcadececf1ac430cd2c98e323154148
• SHA256: 1f32b7c2d890ed6910c716a9a976abb2701954733cd59db5a97344766f9c4691

Cosa fa

• Recupera il feed pubblico di URLhaus in tempo reale (non copiato né ridistribuito)
• Salta:
  • Commenti, righe vuote, URL malformati e auto-riferimenti del feed
• Normalizza ed estrae:
  • Protocollo, host, percorso URI e porta
  • Deduplica gli host in chiavi di regola coerenti
• Genera avvisi Suricata originali e derivati per 3 livelli:
  1. HTTP → host + percorso URI, qualsiasi porta se non specificata (massima copertura)
  2. TLS → rilevamento HTTPS tramite SNI (tls.sni) solo
  3. DNS → visibilità delle query di dominio tramite dns.query
• Logica di deduplicazione:
  • HTTP → (host, path)
  • HTTPS/TLS → host
  • DNS → host
• Scrive tutti gli avvisi in un unico file di regole combinato
• Riavvia Suricata regole (so-suricata-restart --force)

Compatibilità e attribuzione del feed di minacce

• Sviluppato indipendentemente dall'autore
• Progettato per compatibilità con la piattaforma Security Onion
• Non affiliato, approvato o supportato da Security Onion LLC
• Security Onion è un marchio di Security Onion LLC, riconosciuto qui solo a scopo identificativo
• Fonte del feed di minacce: URLhaus, un servizio gestito da abuse.ch
• abuse.ch è un marchio di abuse.ch e viene riconosciuto come tale

Output delle regole (generato in fase di esecuzione)

/opt/so/rules/suricata/siginthombre.rules

• Contiene solo logica di rilevamento derivata e generata
• Non è un mirror del feed, database o ridistribuzione di IOC
• Il file viene sovrascritto a ogni esecuzione per evitare indicatori obsoleti

Risultato

Fornisce una copertura di rilevamento di rete ampia per infrastrutture dannose su:

• Richieste HTTP (con o senza porta esplicita)
• Handshake TLS tramite SNI
• Query DNS di domini

Licenza e avviso di ridistribuzione

• Apache License 2.0 (permissiva, COSÌ COM'È, senza garanzia)
• Le regole Suricata sono contenuto originale e derivato generato in fase di esecuzione
• Questo progetto non ridistribuisce né archivia database o feed IOC di terze parti
• Non affiliato con abuse.ch o Security Onion LLC

Avviso di distribuzione

Convalidare le regole generate prima dell'uso in produzione.
Non viene fornita alcuna garanzia. L'autore non è responsabile per danni o usi impropri. Utilizzare a proprio rischio.

Esempio di utilizzo con cron (esecuzione una volta all'ora)

0 * * * * /usr/local/bin/siginthombre.py

Costruito per difensori che vogliono logica di rilevamento dinamica fresca e veloce

Tutti i domini e IP mostrati qui sono indicatori dannosi pubblicamente condivisi, consumati da feed di minacce di terze parti per dimostrare i rilevamenti degli avvisi Suricata utilizzando siginthombre. Non visitare o interagire con questi domini o IP al di fuori di un ambiente di ricerca controllato o di test SOC.