st2labs/sipiSemplici strumenti per informazioni IP per l'analisi dei dati di reputazione
#Simple IP Information Tools (sIPI) ##per l'Analisi dei Dati di Reputazione IP
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
Autore: Julian J. Gonzalez Caracuel - Twitter: @rhodius | @seguriadxato2 | @st2labs
Versione: 0.1
Questo strumento è destinato al team di risposta agli incidenti e a chiunque voglia conoscere il comportamento di un indirizzo IP "sospetto". Lo strumento effettua ricerche per ottenere informazioni sulla reputazione da una serie di fonti di intelligence sulle minacce open source. Informazioni su questo IP come attività malware, attività dannosa, blacklist, spam e attività botnet.
Dipendenze:
Installazione:
pip install requests & easy_install shodan
git clone "repositori"
configura il token API in config.json
prova: $> python sipi.py any_ip -A
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
sIPi - è uno strumento di ricognizione gratuito per ottenere informazioni sugli indirizzi IP da
molte fonti aperte: cymon.io | shoda.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Versione: 0.1
È uno strumento che analizza un IP o una lista di IP, ottenendo come risultato informazioni su:
- reputazione / attività
- livello di esposizione
- geolocalizzazione
Reputazione / rilevamento dell'IP in blacklist secondo le seguenti categorie:
Fonte: cymon.io - Cymon è il più grande tracker open source di malware, phishing, botnet, spam e altro
['malware',
'botnet',
'spam',
'phishing',
'attività dannosa',
'blacklist',
'dnsbl']
Livello di esposizione:
Fonte: shodan.io - Shodan è il primo motore di ricerca al mondo per dispositivi connessi a Internet.
Ottiene tutte le informazioni che SHODAN ha sull'indirizzo IP. A seconda del livello di accesso al motore SHODAN
si potranno ottenere informazioni con una maggiore quantità di dati (numero di porte, banner, geolocalizzazione)
Geolocalizzazione:
Fonte: ipinfo.io
Ottiene informazioni semplici sull'indirizzo IP, geolocalizzazione e informazioni sull'ASN, consente un limite di 1000/giorno
cymon.io - Necessita di token di autenticazione - utente registrato limite: 1000/giorni
shodan.io - Necessita di token di autenticazione - utente registrato limite 100 risultati, porte limitate
La configurazione dei token viene inserita nel file: config.json, che deve trovarsi nella directory in cui viene eseguito sipi.py << Il token API di tutti i servizi viene configurato in un file "config.json" situato nella directory principale >>
Dipendenze
requests
pip install requests
shodan
easy_install shodan
Linux & Windows
Cerca informazioni in tutte le categorie di reputazione, livello di esposizione e informazioni IP
Ottieni informazioni per il nome file della lista IP in tutte le categorie da cymon e aggiungi informazioni da Shodan e IPInfo
$> python sipi.py list_ip -A -s -i
Ottieni informazioni sull'IP nella lista SPAM, livello di esposizione e informazioni IP
Ottieni informazioni per il nome file della lista IP solo nella categoria SPAM da cymon e aggiungi informazioni da Shodan e IPInfo
$> python sipi.py list_ip -t spam -s -i
Ottieni informazioni sulla lista IP in reputazione a livello di Malware
Ottieni informazioni per il nome file della lista IP solo nella categoria MALWARE da cymon con 1 giorno fa e limite di 1000 voci
$> python sipi.py list_ip -t malware -d 1 -l 1000
-d <giorni[1-3]> È possibile analizzare solo il livello di reputazione dell'IP negli ultimi 3 giorni
Se non trovi nulla, è possibile che gli eventi risalgano a più di 3 giorni fa, prova a usare l'opzione -d 4
Per più di 3 giorni usa -d 4
-l <limite> Controlla il numero di risultati in cui analizzare l'IP - Default: 100
$> python sipi.py lista.txt -d 4 -A
[[@st2labs]] Simple IP Information Tool [[@st2labs]]
sIPi - è uno strumento gratuito per ottenere informazioni sugli indirizzi IP da
molte fonti aperte: cymon.io | shoda.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Versione: 0.1
[!] Questo IP ['83.55.23.240s'] non è valido ed è stato rimosso dalla ricerca
Se i giorni sono più di 3, la modalità di cambio automatico è attiva
[ip_blacklist > ip_events] per ottenere informazioni IP
++++++++++++++++++++++++++++++++++++++
+ Info ottenuta da: http://cymon.io +
+ Controllo per ip_events
++++++++++++++++++++++++++++++++++++++
+---------------------------------+
+-Eventi per IP:93.76.61.78
+---------------------------------+
+--
[!] IP 93.76.61.78 trovato in BlackList attività dannosa
Rilevato da: [u'esentire threat labs']
--+
[NON_TROVATO] IP 93.76.61.78 in queste CATEGORIE:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Eventi per IP:93.183.250.196
+---------------------------------+
+--
[!] IP 93.183.250.196 trovato in BlackList attività dannosa
Rilevato da: [u'esentire threat labs']
--+
[NON_TROVATO] IP 93.183.250.196 in queste CATEGORIE:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Eventi per IP:176.101.204.172
+---------------------------------+
+--
[!] IP 176.101.204.172 trovato in BlackList attività dannosa
Rilevato da: [u'esentire threat labs']
--+
[NON_TROVATO] IP 176.101.204.172 in queste CATEGORIE:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
Questo è software libero; puoi ridistribuirlo e/o modificarlo
secondo i termini della GNU General Public License come pubblicata
dalla Free Software Foundation versione 2 della Licenza.
Questo è distribuito nella speranza che sia utile,
ma SENZA ALCUNA GARANZIA; senza nemmeno la garanzia implicita di
COMMERCIABILITÀ o IDONEITÀ PER UN PARTICOLARE SCOPO. Vedi la
GNU General Public License per maggiori dettagli.
Dovresti aver ricevuto una copia della GNU General Public License
insieme a questo programma; in caso contrario, scrivi alla Free Software
Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA