Key modules:

| 모듈 | 담당 |
|--------|---------------|
| `ioc2rpz.erl` | TCP/TLS DNS 작업자 — 수락, 구문 분석, 검증, 응답 |
| `ioc2rpz_udp.erl` | UDP DNS 수신기 — SOA 질의 |
| `ioc2rpz_conn.erl` | IOC 소스 가져오기 (HTTP/HTTPS/파일/셸) |
| `ioc2rpz_db.erl` | ETS 기반 영역 및 패킷 캐시 |
| `ioc2rpz_sup.erl` | 메인 감독자, 구성 로딩, 영역 스케줄링 |
| `ioc2rpz_rest.erl` | REST 관리 API (Cowboy) |
| `ioc2rpz_doh.erl` | DNS-over-HTTPS 핸들러 |

## ioc2rpz™ 사용 방법
ioc2rpz™는 응답 정책 영역(Response Policy Zones)을 지원하는 모든 DNS 서버와 함께 사용할 수 있습니다. 예를 들어 최신 버전의 ISC BIND, PowerDNS 및 이러한 제품 기반의 상용 DNS 서버(예: Infoblox, Blue Cat, Efficient IP)가 있습니다. 샘플 BIND 구성 파일(named.conf)이 cfg 폴더에 제공됩니다.
<p align="center"><a href="http://www.youtube.com/watch?feature=player_embedded&v=bvhyMFa_mBM" target="_blank"><img src="https://raw.githubusercontent.com/Homas/ioc2rpz/master/ioc2rpz_demo.png"></a></p>

## ioc2rpz™ 웹 인터페이스
[ioc2rpz.gui](https://github.com/Homas/ioc2rpz.gui)는 별도 프로젝트로 개발된 관리 웹 인터페이스입니다. ioc2rpz™ 실행에 필수적이지 않습니다.

## 프로토콜 지원

ioc2rpz™는 여러 전송 프로토콜을 수신합니다. 모든 전송은 동일한 쿼리 처리 파이프라인을 공유합니다: 속도 제한, TSIG 검증, 영역 조회, 응답 생성. 전체 프로토콜 문서는 [docs/protocols.md](https://github.com/homas/ioc2rpz/blob/HEAD/docs/protocols.md)를 참조하십시오.

### 포트 요약

| 포트 | 프로토콜 | 서비스 | 조건 |
|------|----------|---------|-----------|
| 53 | UDP | DNS 질의 (SOA만) | 항상 |
| 53 | TCP | DNS 질의, AXFR/IXFR 영역 전송, 관리 | 항상 |
| 853 | TCP+TLS | DoT — TCP와 동일하나 암호화됨 | `cert` 구성 필요 |
| 443/8443 | TCP+TLS | DoH (`/dns-query`) 및 REST API | `cert` 구성 필요 |

### UDP (포트 53)

UDP는 경량 DNS 질의, 주로 SOA 조회에 사용됩니다. 512바이트(또는 EDNS0에서 알린 버퍼 크기)를 초과하는 응답은 RFC 1035 §4.2.1에 따라 TC(절단) 비트를 설정하여 클라이언트가 TCP를 통해 재시도하도록 합니다. 관리 명령은 UDP를 통해 지원되지 않습니다.```bash
dig @127.0.0.1 zone.ioc2rpz SOA -y hmac-sha256:keyname:base64key

### DNS over TLS / DoT (포트 853)

ioc2rpz™는 DoT를 통한 RPZ 배포를 지원합니다. TLS 리스너는 구성에 `cert` 레코드가 있을 때 포트 853에서 자동으로 시작됩니다. DoT는 TCP와 동일한 작업(AXFR, IXFR, SOA, 관리)을 지원합니다.

- 지원되는 TLS 버전: 1.2 및 1.3 (`?TLSVersion = 'tlsv1.2-1.3'`)
- RFC 7858 §3.4에 따른 연결 재사용 지원 (TLS 세션당 여러 쿼리, 30초 유휴 시간 제한)
- TLS PIN은 지원되지 않습니다
- DNS NOTIFY 메시지는 암호화되지 않은 상태로 전송됩니다 (일반 UDP)
- 인증서는 디스크에서 파일이 교체될 때 자동으로 새로고침됩니다 (Erlang SSL 캐싱으로 인해 최대 약 2분 지연)

인증서 설정에 대한 자세한 내용은 [인증서 설정](#certificate-setup)을 참조하세요.```bash
# SOA query over DoT
kdig @127.0.0.1 -p 853 zone.ioc2rpz SOA +tls -y hmac-sha256:keyname:base64key

# AXFR over DoT
dig @127.0.0.1 -p 853 zone.ioc2rpz AXFR +tls +tcp -y hmac-sha256:keyname:base64key

### 속도 제한

DNS 질의는 지능형(하이브리드) 키를 사용하여 속도가 제한되므로, 합법적인 다중 영역 클라이언트는 불이익을 받지 않으면서 질의 이름 변형 남용이 차단됩니다:

- **프로비저닝된 영역 + 지원되는 QTYPE** (`SOA`/`AXFR`/`IXFR`, 클래스 `IN`) 및 **인식된 관리 명령** (클래스 `CHAOS`/`TXT`)은 `{client_IP, query_name, query_type}`별로 추적됩니다. 따라서 여러 영역(예: `rpz1`, `rpz2`, `rpz3`)을 폴링/전송하고 관리하는 보조 서버가 하나의 IP에서 영역+유형별로 독립적으로 집계됩니다.
- **그 외 모든 것**(알 수 없거나 프로비저닝되지 않은 영역, 지원되지 않는 질의 유형, 잘못된 클래스, 또는 인식되지 않은 관리 이름)은 `{client_IP}`별로 집계되므로, 공격자가 질의 이름을 변경하여 제한을 우회할 수 없습니다.

제한이 초과되면 서버는 DNS `REFUSED` 응답을 반환합니다.

| 매개변수 | 기본값 | 매크로 |
|-----------|---------|-------|
| 창 | 10초 | `?RATE_LIMIT_WINDOW` (10000 ms) |
| 창당 최대 요청 수(세분화: 알려진 영역+유형 / 관리) | 1 | `?MAX_REQUESTS_PER_WINDOW` |
| 창당 최대 요청 수(전체: 알 수 없는 영역 / 지원되지 않는 유형) | 1 | `?MAX_UNKNOWN_REQUESTS_PER_WINDOW` |

속도 제한은 모든 DNS 질의 전송(UDP, TCP, TLS, DoH)에 적용됩니다. 창 및 임계값은 `include/ioc2rpz.hrl`의 매크로를 통해 구성할 수 있습니다.

### DNS NOTIFY

영역 업데이트(AXFR 또는 IXFR) 후에 ioc2rpz™는 UDP를 통해 RPZ `NotifyList`에 구성된 IP 주소로 DNS NOTIFY 메시지([RFC 1996](https://tools.ietf.org/html/rfc1996))를 전송합니다. 이는 보조 DNS 서버가 영역 SOA 일련번호를 확인하고, 일련번호가 변경된 경우 전송을 시작하도록 합니다.```erlang
%% NotifyList in RPZ config — last field before whitelists
{rpz, {"zone.ioc2rpz", ..., ["source1"], ["10.0.0.1", "10.0.0.2"], []}}.

where /home/ioc2rpz/cfg, /home/ioc2rpz/db directories on a host system.  
You can pass a custom configuration file name via``-e`` parameter. E.g. ``-e CONF=./cfg/ioc2rpz2.conf``

## 환경 변수

다음 환경 변수는 ioc2rpz™에서 사용되며, 주로 Docker 배포와 관련이 있습니다. 이들은 `config/sys.config.src` 및 `config/vm.args`에 정의되어 있습니다.

| 변수 | 기본값 | 설명 |
|----------|---------|-------------|
| `IPv4` | — | IPv4 바인드 주소 |
| `IPv6` | — | IPv6 바인드 주소 |
| `CONF` | — | 설정 파일 경로 (예: `./cfg/ioc2rpz.conf`) |
| `DB` | `/opt/ioc2rpz/db` | ETS 지속성을 위한 데이터베이스 디렉토리 |
| `CD` | `/opt/ioc2rpz` | 작업 디렉토리 |
| `NODE_NAME` | `ioc2rpz` | 얼랭 노드 짧은 이름 |
| `IO2Cookie` | `ioc2rpz` | 얼랭 분산 쿠키 |

환경 변수를 `-e`와 함께 Docker에 전달하세요:```bash
docker run -d --name ioc2rpz -e CONF=./cfg/custom.conf -e NODE_NAME=mynode ...

`ioc2rpz.conf`를 업데이트하여 마운트된 인증서 경로를 참조하세요.```erlang
{cert, {"ssl/live/ns1.rpz-proxy.com/fullchain.pem", "ssl/live/ns1.rpz-proxy.com/privkey.pem", ""}}.

### Let's Encrypt (프로덕션)```bash
# Obtain certificate
sudo certbot certonly --standalone -d ns1.rpz-proxy.com

# Copy to ioc2rpz cfg directory
cp /etc/letsencrypt/live/ns1.rpz-proxy.com/fullchain.pem cfg/ioc2rpz_dot.crt
cp /etc/letsencrypt/live/ns1.rpz-proxy.com/privkey.pem cfg/ioc2rpz_dot.key

인증서는 구성 리로드(`ioc2rpz-reload-cfg`) 중에 명시적으로 다시 로드됩니다. ioc2rpz가 인증서 파일이 변경되었음을 감지하면, 약 2분의 Erlang SSL 캐시를 기다리지 않고 즉시 TLS 리스너를 새 인증서로 다시 시작합니다. 재생성 훅에 `ioc2rpz-reload-cfg` 단계를 추가하여 다운타임 없이 새 인증서를 적용하세요.

### Docker 볼륨 마운팅

Docker에서 실행할 때, 호스트에서 인증서 디렉토리를 마운트하십시오:```bash
docker run -d --name ioc2rpz \
  --mount type=bind,source=/etc/letsencrypt/live/ns1.rpz-proxy.com,target=/opt/ioc2rpz/ssl,readonly \
  ...

Erlang은 약 2분 이내에 교체된 인증서 파일을 자동으로 감지합니다. 설정 리로드(`ioc2rpz-reload-cfg`) 중에도 인증서가 명시적으로 다시 로드됩니다. 인증서가 만료되지 않도록 하세요 — 중단 없는 서비스를 위해 만료 전에 갱신하십시오.

## 소스에서 빌드하기

> **참고:** 소스에서 빌드하는 것은 **개발 및 테스트**를 위한 것입니다. 프로덕션의 경우 **Docker가 권장 배포 방법**입니다 — [Docker Compose](#docker-compose) 및 [ioc2rpz.dc](https://github.com/Homas/ioc2rpz.dc) 저장소를 참조하십시오.

### 사전 요구 사항

- **Erlang/OTP 24 이상** (`erl -version`으로 확인) 및 일치하는 [rebar3](https://www.rebar3.org).
- C 툴체인 (종속성 빌드용) 및 `git`.

### 빌드 및 실행```bash
# 1. Clone the repository
git clone https://github.com/Homas/ioc2rpz.git
cd ioc2rpz

# 2. Build a release
rebar3 release

# 3. Edit the configuration (see the minimal example below)
$EDITOR cfg/ioc2rpz.conf

# 4. Start the server (foreground console, or 'start' for background)
_build/default/rel/ioc2rpz/bin/ioc2rpz console
# or: _build/default/rel/ioc2rpz/bin/ioc2rpz start

[문서/구성.md](https://github.com/homas/ioc2rpz/blob/HEAD/docs/configuration.md)에서 필드별 공식 참조(소스/RPZ 튜플 레이아웃, SOA 타이머, 키 그룹, 인증서 등)를 확인하세요. DoT(포트 853), DoH 및 HTTPS REST API를 활성화하려면 `{cert,{...}}` 항목을 추가하세요 — [인증서 설정](#certificate-setup)을(를) 참조하세요.

### 개발 셸 (개발/테스트 전용)

다음 명령어는 로컬 개발 및 테스트용이며, 프로덕션 용도가 아닙니다:```bash
# Compile only (no release)
rebar3 compile

# Run the EUnit test suite
rebar3 eunit
# Run tests for a single module
rebar3 eunit --module=ioc2rpz_fun

# Start an interactive shell with the application and all deps loaded
rebar3 shell

## ioc2rpz™ 관리
### DNS를 통한
ioc2rpz™는 DNS/TCP 또는 DoT를 통한 관리를 지원합니다. DNS/TCP 대신 DoT 또는 REST API를 사용하는 것이 좋습니다. 현재 버전의 ioc2rpz™는 별도의 관리 IP/인터페이스를 지원하지 않습니다. 어떤 경우든 관리 전용으로 사용할 지정된 TSIG 키(또는 키들)를 생성하는 것이 좋습니다. DNS를 통한 관리를 비활성화할 수 있습니다.  
지원되는 작업:
- ioc2rpz™ 현재 상태. ``ioc2rpz-status`` 요청, 클래스 ``CHAOS``, 레코드 ``TXT``. 예:```
dig +tcp -y dnsmkey_1:ayVnL+h2QKMszRVohrngagcEuIpN3RkecXKdwSa5WsHD5N4Y5R3NUMGM W8sIGv36gPkAtWtgarqKzN9tmHqEnA== @127.0.0.1 ioc2rpz-status TXT -c CHAOS

- ioc2rpz™ 중지. RR Name ``ioc2rpz-terminate``, RR Class ``CHAOS``, RR Type ``TXT``
- 샘플 영역 요청. RR Name ``sample-zone.ioc2rpz``, RR Class ``IN``, RR Type ``AXFR``
### REST를 통한
REST API(포트 8443/tcp)는 권장 관리 인터페이스입니다. 보안상의 이유로 모든 관리 트래픽은 암호화되어야 하며, SSL 인증서가 없으면 REST API가 시작되지 않습니다. 모든 엔드포인트는 GET 및 POST 메서드를 모두 허용합니다.

기본 HTTP 인증이 요청 인증에 사용됩니다. 요청 인증에는 관리 TSIG 키가 사용됩니다. TSIG 키 이름이 HTTP 사용자 이름으로 사용되고, TSIG 키가 비밀번호로 사용됩니다. REST API에 대한 액세스는 `srv` 레코드에 정의된 ACL로 제한됩니다.

API 버전 세그먼트는 `v1`과 `v1.0`을 모두 지원합니다(예: `/api/v1/stats/serv` 또는 `/api/v1.0/stats/serv`).

REST API는 `Accept` 헤더를 기반으로 JSON(기본값) 및 일반 텍스트 출력을 지원합니다:
- `application/json` — JSON 출력(기본값)
- `text/plain` — 일반 텍스트 출력```bash
# Example: plain text output
curl -u "keyname:base64key==" -k -H "Accept: text/plain" https://127.0.0.1:8443/api/v1/mgmt/update_tkeys

#### 경로 매개변수

| 매개변수 | 설명 |
|-----------|-------------|
| `:rpz_name` | RPZ 영역 이름 (예: `dga.ioc2rpz`) |
| `:source_name` | IOC 소스 이름 (예: `sample_fqdn`) |
| `:ioc` | 조회할 지표 (FQDN 또는 IP, 예: `baddomain.com`) |

#### 통계 엔드포인트

`/api/v1/stats/serv` — 서버 통계 (노드 이름, 총 규칙 수, 메모리 사용량)```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/stats/serv

{
  "srv": {
    "node_name": "ioc2rpz@hostname",
    "srv_total_rules": 15000,
    "hot_cache_mem": "12.5 Mb",
    "axfr_table_mem": "45.2 Mb",
    "ixfr_table_mem": "8.1 Mb"
  },
  "rpz": [...],
  "sources": [...]
}

```json
{
  "rpz": [
    {
      "name": "malware.ioc2rpz",
      "status": "ready",
      "rule_count": 5000,
      "ioc_count": 4500,
      "serial": 1709000000,
      "serial_ixfr": 1708990000,
      "update_time": 1709000000,
      "ixfr_update_time": 1708995000,
      "ixfr_nz_update_time": 1708995000
    }
  ]
}

```json
{
  "sources": [
    {"name": "sample_fqdn", "ioc_count": 150}
  ]
}

성공: `{"status":"ok","msg":"Configuration reloaded"}`
오류 (HTTP 520): `{"status":"error","msg":"Configuration reload error"}`

`/api/v1/mgmt/update_tkeys` — 설정에서 TSIG 키 다시 로드```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/mgmt/update_tkeys

성공: `{"status":"ok","msg":"Terminating"}`

#### 영역 업데이트 엔드포인트

`/api/v1/update/all_rpz` — 모든 RPZ 영역의 전체 새로고침을 강제 실행```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/update/all_rpz

Success: `{"status":"ok","msg":"RPZ dga.ioc2rpz will be updated"}`
Error (HTTP 520): `{"status":"error","msg":"RPZ dga.ioc2rpz not found"}`

#### 캐시 관리 엔드포인트

`/api/v1/cache/sources/clear/all` — 모든 소스를 핫 캐시에서 제거합니다```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/cache/sources/clear/all

Success: `{"status":"ok","msg":"sample_fqdn source was removed from the hot cache"}`

`/api/v1/cache/sources/load/all` — 모든 소스를 핫 캐시로 다시 로드합니다.```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/cache/sources/load/all

성공:```json
{
  "status": "ok",
  "rpz": "malware.ioc2rpz",
  "iocs": ["baddomain.com", "evil.example.org"]
}

성공:```json
{
  "ioc": "baddomain.com",
  "tkey": "dnsproxykey_1",
  "data": [
    {
      "ioc": "baddomain.com",
      "feeds": [
        {
          "feed": "malware.ioc2rpz",
          "wildcard": "true",
          "type": "fqdn",
          "rpz_serial": 1709000000,
          "ioc_expiration": 0,
          "sources": ["abuse-ch", "internal-list"]
        }
      ]
    }
  ]
}

## 모니터링 및 상태 점검

### REST API 통계```bash
# Server statistics
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/serv

# RPZ zone statistics (indicator counts, serials, update times)
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/rpz

# Source statistics
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/source

### DNS 상태 점검```bash
# SOA query over UDP
dig @localhost -p 53 your-zone.rpz SOA +short

# Zone transfer over TCP
dig @localhost -p 53 your-zone.rpz AXFR +tcp -y hmac-sha256:keyname:base64key

# DoT query
dig @localhost -p 853 +tls your-zone.rpz SOA

# Sample zone (built-in test zone)
dig @localhost sample-zone.ioc2rpz AXFR +tcp

The 4-field form remains valid and defaults `TrackSources` to `off`.
### **cert** 레코드
**cert** 레코드는 DNS over TLS, REST API 및 DoH 통신을 위한 인증서와 개인 키를 정의하는 데 사용됩니다. 인증서 생성 및 관리에 대한 내용은 [Certificate Setup](#certificate-setup)을 참조하십시오.

다음으로 구성됩니다:
- 인증서가 포함된 파일의 경로;
- PEM 인코딩된 개인 키가 포함된 파일의 경로;
- PEM 인코딩된 CA 인증서가 포함된 파일의 경로.  

Sample **cert** 레코드:```
{cert,{"cfg/cert.pem", "cfg/key.pem",	"cfg/cacerts.pem"}}.

### **key** 레코드
TSIG 키는 인증 및 권한 부여에 사용됩니다. ioc2rpz™ 관리와 영역 전송에 서로 다른 TSIG 키를 사용하는 것이 좋습니다.  
**key** 레코드는 다음으로 구성됩니다:
- TSIG 키 이름;
- 알고리즘. ``md5``, ``sha256``, ``sha512``가 지원됩니다;
- 키;
- (선택 사항) 키가 속한 키 그룹 목록.

샘플 **key** 레코드:```
{key,{"key_name_1","md5","ayVnL+h2QKMszRVohrngagcEuIpN3RkecXKdwSa5WsHD5N4Y5R3NUMGM W8sIGv36gPkAtWtgarqKzN9tmHqEnA=="}}.
{key,{"key_name_2","sha256","5Yvt70eJnf95+LJeI8H3TgKGeVparmMB7udA0pv/JRE="}}.
{key,{"key_name_3","sha512","03uuaGl9kqfenjRgIeCv6e29lVvMwviB1+cDX1I0jcVOcTU4jWFwRkfo3ULRMD+NGDfwzYvXkJ94FNEaAW4vzw==",["customers","public"]}}.

자세한 내용은 "dnssec-keygen" 문서를 참조하십시오. 키는 RPZ 영역 접근 제어에서 그룹 기반 권한 부여를 위해 그룹에 할당될 수 있습니다.

### **key_group** 레코드
키 그룹은 영역 전송 및 관리를 위한 그룹 기반 권한 부여를 제공합니다. `rpz` 또는 `srv` 레코드에 개별 키를 나열하는 대신, 키를 명명된 그룹에 할당하고 그 그룹을 참조할 수 있습니다.

그룹에 키를 할당하는 두 가지 방법이 있습니다:
1. `key` 레코드의 선택적 네 번째 필드를 통한 인라인: `{key, {Name, Alg, Secret, [Groups]}}`
2. `key_group` 레코드를 통한 명시적 할당 (아래 참조)```erlang
{key_group, {GroupName, [KeyName1, KeyName2, ...]}}.

그룹은 키 목록의 `{groups, ["group1", "group2"]}` 튜플을 사용하여 `rpz` 및 `srv` 레코드에서 참조됩니다:```erlang
{rpz, {"zone.ioc2rpz", 7202, 3600, 2592000, 7200, "true", "true", "nxdomain",
       ["dnsproxykey_1", {groups, ["customers", "public"]}],
       "fqdn", 86400, 3600, ["source1"], [], []}}.

### **source** 레코드
소스는 악성 지표의 피드(feed)입니다. FQDN, IPv4 및 IPv6 주소를 지원합니다. 소스는 텍스트 파일 또는 텍스트 데이터의 피드입니다. 지표는 개행/캐리지 리턴 문자(/n, /r 또는 /r/n 모두)로 구분되어야 합니다. ioc2rpz™는 무제한의 지표 수를 지원합니다.  
**source** 레코드는 다음으로 구성됩니다:
- 소스 이름;
- 전체 소스 전송(AXFR)을 위한 소스 경로. URL(http/https/ftp), 로컬 파일 및 스크립트를 지원합니다. 접두사 **file:** 은 로컬 파일에 사용됩니다. 접두사 **shell:** 은 호스트/컨테이너에서 로컬 스크립트/명령을 실행하여 지표와 선택적 만료일을 STDOUT으로 반환하도록 하는 데 사용됩니다;
- 증분 소스 전송(IXFR)을 위한 소스 경로. AXFR, IXFR 경로는 URL을 단축하고 영역 업데이트 타임스탬프를 제공하기 위해 키워드를 지원합니다:
  - **[:AXFR:]** - 전체 AXFR 경로. IXFR 경로에서만 사용할 수 있습니다;
  - **[:FTimestamp:]** - 소스가 마지막으로 업데이트된 시점의 타임스탬프 (예: 1507946281)
  - **[:ToTimestamp:]** - 현재 타임스탬프;
- 지표와 만료 시간을 추출하는 데 사용되는 REGEX. 첫 번째 일치는 지표, 두 번째 일치는 만료 시간입니다. 만료 시간은 선택적 매개변수입니다. 정규 표현식은 큰따옴표 안에 포함되어야 합니다. 빈 REGEX(`""`)를 지정하면 기본 REGEX(`"^([A-Za-z0-9][A-Za-z0-9\-\._]+)[^A-Za-z0-9\-\._]*.*$"`)가 사용됩니다. REGEX가 필요하지 않은 경우(소스가 이미 필요한 형식으로 데이터를 제공하는 경우) `none`이 사용됩니다.
선택적 매개변수(모두 사용하거나 전혀 사용하지 않아야 함):
- UserID (내부적으로 사용됨).
- 최대 IoC 수.
- 전체 소스 업데이트, 핫 캐시 시간(초 단위).
- 증분 소스 업데이트, 핫 캐시 시간(초 단위).

HTTPS 소스 다운로드는 원격 서버의 TLS 인증서를 확인합니다. 유효하지 않거나 자체 서명된 인증서가 있는 소스는 다운로드에 실패합니다. 자체 서명된 인증서의 경우 `curl --insecure`와 함께 `shell:` 소스를 사용하십시오.

**로컬 파일 제한:** `file:` 경로에 `..`(상위 디렉터리 이동)가 포함된 것은 보안상 거부됩니다. `..` 없는 경로(작업/데이터 디렉터리 내)를 사용하십시오.

**셸 명령 제한:** 각 파이프라인 세그먼트의 실행 파일은 절대 경로(예: `/usr/bin/curl`) 또는 일반 이름의 안전한 텍스트 유틸리티(`sort`, `uniq`, `grep`, `sed`, `awk`, `gawk` 등)여야 합니다. 파괴적인 명령과 셸(`rm`, `bash`, `sh` 등)은 차단되며, 명령 치환(`$(...)`, 백틱) 및 출력 리디렉션(`>`, `>>`)은 거부됩니다. 거부된 명령은 실행되지 않고 CEF 이벤트 151(실행된 명령은 150)을 통해 기록됩니다. 전체 규칙 집합은 [docs/configuration.md](https://github.com/homas/ioc2rpz/blob/HEAD/docs/configuration.md#shell-command-restrictions)를 참조하십시오.

소스가 이전 지표 수의 50% 미만을 반환하면 업데이트가 거부되고 이전 데이터가 유지됩니다. 이는 저하된 피드가 RPZ 범위를 줄이는 것을 방지합니다. `?SOURCE_MIN_IOC_RATIO` 매크로를 통해 구성 가능합니다.

샘플 **source** 레코드:```
%% Local file source — indicators without expiration
{source,{"sample_fqdn","file:cfg/sample_ioc_fqdn.txt","[:AXFR:]",none}}.

%% Local file source — indicators with expiration timestamps (tab-separated)
{source,{"sample_expire","file:cfg/sample_ioc_expire.txt","[:AXFR:]","^([A-Za-z0-9][A-Za-z0-9\-\._]+)\t([0-9TZ:\-]+)$"}}.

%% Shell source — fetch RPZ via AXFR and extract CNAMEs
{source,{"base.rpz1","shell:/usr/bin/dig -y KEYNAME:TSIGKEY @127.0.0.1 base.rpz.ioc2rpz.local axfr | /bin/grep -e CNAME | /bin/grep -v '*.' | /usr/bin/awk -F '.base.rpz' '{print $1}'","",none}}.

### IOC 출처 귀속
RPZ 피드는 여러 출처의 지표를 병합하여 구축됩니다. 출처 귀속을 통해 IOC 조회 API는 피드 내의 **어떤 출처가** 지표에 기여했는지 보고할 수 있으며, 이는 보고된 오탐지를 분류하는 데 유용합니다. 추적은 **기본적으로 꺼져 있으며** 피드별로 선택적 서버 수준 글로벌 기본값으로 제어됩니다.

**구성**

- 피드별: `{rpz,{...}}` 튜플의 선택적 후행(16번째) `TrackSources` 요소 — `auto | true | false`.
- 서버 글로벌 기본값: `{srv,{...}}` 튜플의 선택적 후행(5번째) `TrackSources` 요소 — `off | auto | on` (기본값 `off`).

둘 다 선택 사항이며 하위 호환됩니다. 기존 구성 파일(15개 필드 `rpz`, 4개 필드 `srv`)은 변경 없이 로드되며 off로 동작합니다.

**해결 우선순위** — 피드의 유효 상태는 다음과 같이 결정됩니다:
1. 피드의 명시적 `track_sources` 값이 설정된 경우;
2. 그렇지 않으면 서버 글로벌 기본값;
3. 그렇지 않으면 내장 기본값 `off`.

`auto`는 **다중 출처** 피드만 추적함을 의미합니다. 단일 출처 피드는 마스킹되지 않으며, 해당 하나의 출처 이름이 직접 반환됩니다(추적 비용 없음).

**API — 추가적인 `sources` 필드**

`/api/v1/ioc/:ioc` 응답은 각 피드 객체에 새로운 `sources` 필드를 추가합니다. 이 필드는 **추가적이며 하위 호환**됩니다. 모든 기존 필드는 변경되지 않으므로 이 필드를 무시하는 기존 클라이언트는 계속 작동합니다.

- 추적된 다중 출처 피드: 기여한 출처 이름의 JSON 배열입니다.
- 단일 출처 피드: 해당 하나의 출처 이름을 포함하는 단일 요소 배열입니다.
- 추적이 비활성화되었거나 귀속을 알 수 없는 경우(예: 일회성 AXFR 재구축 전 업그레이드 이전의 캐시된 행): `null` (JSON) / `(disabled)` 또는 `(unavailable)` (TXT).```json
{
  "feed": "mixed.ioc2rpz",
  "wildcard": "true",
  "type": "fqdn",
  "rpz_serial": 1709000000,
  "ioc_expiration": 0,
  "sources": ["abuse-ch", "internal-list"]
}