nccgroup/ip-reputation-snort-rule-generator公開IPレピュテーションデータに基づいてSnortルールを生成するツール
公開されているIP/ドメインのレピュテーションデータに基づいて、SnortルールまたはCisco IDSシグネチャを生成するツール
NCC Group Plc によってオープンソースとして公開されています - http://www.nccgroup.com/
開発者: Will Alexander, will dot alexander at nccgroup dot com
https://github.com/nccgroup/IP-reputation-snort-rule-generator
AGPL のもとで公開されています。詳細は LICENSE を参照してください。
./tepig.pl [ [--file=LOCAL_FILE] | [--url=URL] ] [--csv=FIELD_NUM] [--sid=INITIAL_SID] [--ids=[snort|cisco]] | --help
LOCAL_FILE は、悪意のあるドメイン、IPアドレス、および/またはURLのリストを含むローカルに保存されたファイルです。省略した場合は、URLが指定されていると見なされます。 URL は、悪意のあるドメイン、IPアドレス、またはURLのリストを含むURLです。デフォルトは https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist です。 FIELD_NUM は、対象の情報を含むフィールド番号（0から始まる）です。省略した場合、ファイルは単純なリストとして扱われます。 INITIAL_SID は、最初のルールに適用されるSIDです。以降のルールはすべてSID値が1ずつ増加します。デフォルトは9000000です。
./tepig.pl --url=https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist
https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist は、既知の悪意のあるIPアドレスのリストを含むプレーンテキストファイルです。本稿執筆時点では、最初のエントリは 108.161.130.191 です。最初のルールの出力は次のようになります:
alert ip any any <> 108.161.130.191 any (msg:"Traffic to known bad IP (108.161.130.191)"; reference:"url,"; sid:9000000; rev:0;)
このルールは、悪意のあるIPアドレスとの間で送受信されるすべてのトラフィックを検出します。
./tepig.pl --url=http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt
http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt は、既知の悪意のあるドメイン名のリストを含むプレーンテキストファイルです。本稿執筆時点では、最初のエントリは *.bethira.com です。最初のルールの出力は次のようになります:
alert udp any any -> any 53 (msg:"Suspicious DNS lookup for *.bethira.com"; reference:"url,http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt"; content:"|01 00 00 01 00 00 00 00 00 00|"; depth: 10; offset: 2; content:"|07|bethira|03|com"; nocase; distance:0; sid:9000000; rev:0;)
このルールは、悪意のあるドメインに対するすべてのDNSルックアップを検出します。
