nccgroup/ip-reputation-snort-rule-generator공개 IP 평판 데이터를 기반으로 Snort 규칙을 생성하는 도구
공개 IP/도메인 평판 데이터를 기반으로 Snort 규칙 또는 Cisco IDS 시그니처를 생성하는 도구
NCC Group Plc가 오픈소스로 공개 - http://www.nccgroup.com/
개발자: Will Alexander, will dot alexander at nccgroup dot com
https://github.com/nccgroup/IP-reputation-snort-rule-generator
AGPL 라이선스로 배포됩니다. 자세한 내용은 LICENSE를 참조하세요.
./tepig.pl [ [--file=LOCAL_FILE] | [--url=URL] ] [--csv=FIELD_NUM] [--sid=INITIAL_SID] [--ids=[snort|cisco]] | --help
LOCAL_FILE은 악성 도메인, IP 주소 및/또는 URL 목록을 포함하는 로컬에 저장된 파일입니다. 생략하면 URL이 제공된 것으로 간주합니다. URL은 악성 도메인, IP 주소 또는 URL 목록을 포함하는 URL입니다. 기본값은 https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist입니다. FIELD_NUM은 관심 정보가 포함된 필드 번호(0부터 시작)입니다. 생략하면 파일을 단순 목록으로 처리합니다. INITIAL_SID는 첫 번째 규칙에 적용될 SID입니다. 이후의 모든 규칙은 SID 값을 증가시킵니다. 기본값은 9000000입니다.
./tepig.pl --url=https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist
https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist은 알려진 악성 IP 주소 목록을 포함하는 일반 텍스트 파일입니다. 작성 시점 기준 첫 번째 항목은 108.161.130.191입니다. 첫 번째 규칙의 출력은 다음과 같습니다.
alert ip any any <> 108.161.130.191 any (msg:"Traffic to known bad IP (108.161.130.191)"; reference:"url,https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist"; sid:9000000; rev:0;)
이 규칙은 악성 IP 주소로 향하거나 해당 주소에서 오는 모든 트래픽을 찾습니다.
./tepig.pl --url=http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt
http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt은 알려진 악성 도메인 이름 목록을 포함하는 일반 텍스트 파일입니다. 작성 시점 기준 첫 번째 항목은 *.bethira.com입니다. 첫 번째 규칙의 출력은 다음과 같습니다.
alert udp any any -> any 53 (msg:"Suspicious DNS lookup for *.bethira.com"; reference:"url,http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt"; content:"|01 00 00 01 00 00 00 00 00 00|"; depth: 10; offset: 2; content:"|07|bethira|03|com"; nocase; distance:0; sid:9000000; rev:0;)
이 규칙은 악성 도메인에 대한 모든 DNS 조회를 찾습니다.
