IP-reputation-snort-rule-generator

Uno strumento per generare regole Snort o firme IDS Cisco basate su dati di reputazione pubblici di IP/domini

Rilasciato come open source da NCC Group Plc - http://www.nccgroup.com/

Sviluppato da Will Alexander, will punto alexander chiocciola nccgroup punto com

https://github.com/nccgroup/IP-reputation-snort-rule-generator

Rilasciato sotto AGPL, vedere LICENSE per maggiori informazioni

Utilizzo

./tepig.pl [ [--file=LOCAL_FILE] | [--url=URL] ] [--csv=FIELD_NUM] [--sid=INITIAL_SID] [--ids=[snort|cisco]] | --help

LOCAL_FILE è un file memorizzato localmente che contiene un elenco di domini dannosi, indirizzi IP e/o URL. Se omesso, si presume che venga fornito un URL. URL è un URL che contiene un elenco di domini dannosi, indirizzi IP o URL. Il valore predefinito è https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist. FIELD_NUM è il numero di campo (con indicizzazione da 0) che contiene l'informazione di interesse. Se omesso, il file viene trattato come un semplice elenco. INITIAL_SID è il SID che verrà applicato alla prima regola. Ogni regola successiva incrementerà il valore del SID. Il valore predefinito è 9000000.

Esempi

Indirizzo IP dannoso

./tepig.pl --url=https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist

https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist è un file di testo semplice contenente un elenco di indirizzi IP noti come dannosi. Al momento della stesura, la prima voce è 108.161.130.191. L'output della prima regola sarebbe:

alert ip any any <> 108.161.130.191 any (msg:"Traffic to known bad IP (108.161.130.191)"; reference:"url,https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist"; sid:9000000; rev:0;)

Questa regola rileva qualsiasi traffico in direzione o proveniente dall'indirizzo IP dannoso.

Dominio dannoso

./tepig.pl --url=http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt

http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt è un file di testo semplice contenente un elenco di nomi di dominio noti come dannosi. Al momento della stesura, la prima voce è *.bethira.com. L'output della prima regola sarebbe:

alert udp any any -> any 53 (msg:"Suspicious DNS lookup for *.bethira.com"; reference:"url,http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt"; content:"|01 00 00 01 00 00 00 00 00 00|"; depth: 10; offset: 2; content:"|07|bethira|03|com"; nocase; distance:0; sid:9000000; rev:0;)

Questa regola rileva qualsiasi query DNS per il dominio dannoso.