Hashes para verificar o script original (OBSOLETO) de geração de regras (siginthombre.py) .

• MD5: 2dcadececf1ac430cd2c98e323154148
• SHA256: 1f32b7c2d890ed6910c716a9a976abb2701954733cd59db5a97344766f9c4691

O que faz

• Obtém o feed público do URLhaus em tempo real (não espelhado nem redistribuído)
• Ignora:
  • Comentários, linhas vazias, URLs malformados e autorreferências do feed
• Normaliza e extrai:
  • Protocolo, host, caminho URI e porta
  • Deduplica hosts em chaves de regras consistentes
• Gera alertas Suricata originais e derivados para 3 camadas:
  1. HTTP → host + caminho URI, qualquer porta se nenhuma for especificada (cobertura máxima)
  2. TLS → detecção HTTPS via SNI (tls.sni) apenas
  3. DNS → visibilidade de consultas de domínio via dns.query
• Lógica de deduplicação:
  • HTTP → (host, path)
  • HTTPS/TLS → host
  • DNS → host
• Escreve todos os alertas em um único arquivo de regras combinado
• Reinicia as regras do Suricata (so-suricata-restart --force)

Compatibilidade e Atribuição do Feed de Ameaças

• Desenvolvido de forma independente pelo autor
• Projetado para compatibilidade com a plataforma Security Onion
• Não afiliado, endossado ou suportado pela Security Onion LLC
• Security Onion é uma marca registrada da Security Onion LLC, reconhecida aqui apenas para fins de identificação
• Fonte do feed de ameaças: URLhaus, um serviço operado pela abuse.ch
• abuse.ch é uma marca registrada da abuse.ch e é reconhecida como tal

Saída de Regras (gerada durante a execução)

/opt/so/rules/suricata/siginthombre.rules

• Contém apenas lógica de detecção derivada e gerada
• Não é um espelho do feed, banco de dados ou redistribuição de IOCs
• O arquivo é sobrescrito a cada execução para evitar indicadores desatualizados

Resultado

Oferece ampla cobertura de detecção de rede para infraestrutura maliciosa em:

• Requisições HTTP (com ou sem portas explícitas)
• Handshakes TLS via SNI
• Consultas de domínio DNS

Aviso de Licença e Redistribuição

• Apache License 2.0 (permissiva, COMO ESTÁ, sem garantia)
• As regras Suricata são conteúdo original e derivado gerado durante a execução
• Este projeto não redistribui nem arquiva bancos de dados ou feeds de IOCs de terceiros
• Não afiliado à abuse.ch ou Security Onion LLC

Aviso de Implantação

Valide as regras geradas antes do uso em produção.
Nenhuma responsabilidade é fornecida. O autor não se responsabiliza por danos ou uso indevido. Use por sua conta e risco.

Exemplo de uso com cron (executar uma vez por hora)

0 * * * * /usr/local/bin/siginthombre.py

Construído para defensores que desejam lógica de detecção dinâmica rápida e atualizada

Todos os domínios e IPs mostrados aqui são indicadores maliciosos compartilhados publicamente, consumidos de feeds de ameaças de terceiros para demonstrar detecções de alerta Suricata usando siginthombre. Não visite nem interaja com esses domínios ou IPs fora de um ambiente controlado de pesquisa ou SOC de teste.