st2labs/sipiFerramentas Simples de Informação de IP para Análise de Dados de Reputação
[[@st2labs]] Ferramenta Simples de Informação IP [[@st2labs]]
Autor: Julian J. Gonzalez Caracuel - Twitter: @rhodius | @seguriadxato2 | @st2labs
Vesion: 0.1
Esta ferramenta é destinada à Equipe de Resposta a Incidentes e a qualquer pessoa que queira saber o comportamento do endereço IP "suspeito". A ferramenta realiza uma busca por informações de reputação a partir de um conjunto de fontes abertas de inteligência de ameaças. Informações sobre este IP como atividade de malware, atividade maliciosa, lista negra, spam e atividade de botnet.
Depedencies:
Instalação:
pip install requests & easy_install shodan
git clone "repositori"
configurar token API no config.json
tente: $> python sipi.py qualquer_ip -A
[[@st2labs]] Ferramenta Simples de Informação IP [[@st2labs]]
sIPi - é uma ferramenta de reconhecimento gratuita para obter informações de endereço IP a partir de
muitas fontes abertas: cymon.io | shodan.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Versão: 0.1
É uma ferramenta que analisa um IP ou lista de IPs, obtendo como resultado informações sobre:
- reputação / atividade
- nível de exposição
- geolocalização
Reputação / detecção do IP em listas negras de acordo com as seguintes categorias:
Fonte: cymon.io - Cymon é o maior rastreador aberto de malware, phishing, botnets, spam e muito mais
['malware',
'botnet',
'spam',
'phishing',
'malicious activity',
'blacklist',
'dnsbl']
Nível de exposição:
Fonte: shodan.io - Shodan é o primeiro motor de busca do mundo para dispositivos conectados à Internet.
Obtém informações sobre todo o endereço IP que o SHODAN possui sobre o endereço IP, dependendo do nível de acesso ao motor SHODAN, pode-se obter informações com maior quantidade de dados (número de portas, banner, geolocalização)
Geolocalização:
Fonte: ipinfo.io
Obtém informações simples do endereço IP, geolocalização e informações sobre o ASN, permite um limite de 1000/dia
cymon.io - Necessita token de autenticação - usuário registrado limite: 1000/dias
shodan.io - Necessita token de autenticação - usuário registrado limite de 100 resultados, portas limitadas
A configuração dos tokens é inserida no arquivo: config.json, que deve estar no diretório onde o sipi.py é executado << O token API de todos os serviços é configurado em um arquivo "config.json" no diretório raiz >>
Dependências
requests
pip install requests
shodan
easy_install shodan
Linux & Windows
Buscar informações em todas as categorias de reputação, nível de exposição & informações IP Obter informações para o arquivo de lista de IPs em todas as categorias do cymon, e adiciona informações do Shodan & IPInfo $> python sipi.py list_ip -A -s -i
Obter informações sobre o IP na lista de SPAM, nível de exposição & informações IP Obter informações para o arquivo de lista de IPs apenas na categoria SPAM do cymon, e adiciona informações do Shodan & IPInfo $> python sipi.py list_ip -t spam -s -i
Obter informações sobre a lista de IPs em reputação a nível de Malware Obter informações para o arquivo de lista de IPs apenas na categoria MALWARE do cymon com 1 dia atrás e limite de 1000 entradas $> python sipi.py list_ip -t malware -d 1 -l 1000
-d <dias[1-3]> Somente é possível analisar o nível de reputação do IP há 3 dias
Se você não encontrar nada, talvez os eventos tenham mais de 3 dias, por favor tente usar a opção -d 4
Para mais de 3 dias usar -d 4
-l <limite> Controlar o número de resultados onde analisar o IP - Padrão: 100
$> python sipi.py lista.txt -d 4 -A
[[@st2labs]] Ferramenta Simples de Informação IP [[@st2labs]]
sIPi - é uma ferramenta de reconhecimento gratuita para obter informações de endereço IP a partir de
muitas fontes abertas: cymon.io | shodan.io | ipinfo.io
Julian J. Gonzalez Caracuel - @rhodius Versão: 0.1
[!] Este IP ['83.55.23.240s'] não é válido e foi removido da pesquisa
Se dias maior que 3, o modo de alteração automática está ativo
[ip_blacklist > ip_events] para obter informações do IP
++++++++++++++++++++++++++++++++++++++
+ Informações obtidas de: http://cymon.io +
+ Verificando ip_events
++++++++++++++++++++++++++++++++++++++
+---------------------------------+
+-Eventos para IP:93.76.61.78
+---------------------------------+
+--
[!] IP 93.76.61.78 encontrado em malicious activity BlackList
Detectado por: [u'esentire threat labs']
--+
[NÃO_ENCONTRADO] IP 93.76.61.78 nestas CATEGORIAS:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Eventos para IP:93.183.250.196
+---------------------------------+
+--
[!] IP 93.183.250.196 encontrado em malicious activity BlackList
Detectado por: [u'esentire threat labs']
--+
[NÃO_ENCONTRADO] IP 93.183.250.196 nestas CATEGORIAS:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
+---------------------------------+
+-Eventos para IP:176.101.204.172
+---------------------------------+
+--
[!] IP 176.101.204.172 encontrado em malicious activity BlackList
Detectado por: [u'esentire threat labs']
--+
[NÃO_ENCONTRADO] IP 176.101.204.172 nestas CATEGORIAS:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']
Este é um software livre; você pode redistribuí-lo e/ou modificá-lo
sob os termos da GNU General Public License conforme publicada pela
Free Software Foundation na versão 2 da Licença.
Isso é distribuído na esperança de que seja útil,
mas SEM NENHUMA GARANTIA; sem mesmo a garantia implícita de
COMERCIALIZAÇÃO ou ADEQUAÇÃO A UM PROPÓSITO ESPECÍFICO. Veja a
GNU General Public License para mais detalhes.
Você deve ter recebido uma cópia da GNU General Public License
juntamente com este software; se não, escreva para a Free Software
Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA