Простые инструменты информации об IP (sIPI)

для анализа репутации IP-адресов

[[@st2labs]] Простой инструмент информации об IP [[@st2labs]]

Автор: Julian J. Gonzalez Caracuel - Twitter: @rhodius | @seguriadxato2 | @st2labs

Версия: 0.1

Аннотация

Этот инструмент предназначен для групп реагирования на инциденты и всех, кто хочет узнать поведение «подозрительного» IP-адреса. Инструмент выполняет поиск информации о репутации из набора открытых источников угроз. Информация об этом IP, такая как активность вредоносного ПО, вредоносная активность, черные списки, спам и активность ботнетов.

Зависимости:

request
shodan

Установка:

pip install requests & easy_install shodan
git clone "repositori"
настройте токен API в config.json

попробуйте: $> python sipi.py any_ip -A

Описание

[[@st2labs]] Простой инструмент информации об IP [[@st2labs]]

 sIPi - это бесплатный инструмент разведки для получения информации об IP-адресе из
 многих открытых источников: cymon.io | shoda.io | ipinfo.io

Julian J. Gonzalez Caracuel - @rhodius Версия: 0.1

Это инструмент, который анализирует IP-адрес или список IP-адресов, предоставляя информацию о:

	- репутации / активности
	- уровне подверженности 
	- геолокации

Репутация / обнаружение IP в черных списках по следующим категориям:

   Источник: cymon.io - Cymon — крупнейший открытый трекер вредоносных программ, фишинга, ботнетов, спама и многого другого.
   
   ['malware',
	   'botnet',
	   'spam',
	   'phishing',
	   'malicious activity',
	   'blacklist',
	   'dnsbl']

Уровень подверженности:

	Источник: shodan.io - Shodan — первая в мире поисковая система для устройств, подключённых к Интернету.
	
	Получает всю информацию, которую SHODAN имеет об IP-адресе; в зависимости от уровня доступа к поисковой системе SHODAN 
	можно получить информацию с большим объёмом данных (количество портов, баннер, геолокация).
	
Геолокация:

	Источник: ipinfo.io
	
	Получает базовую информацию об IP-адресе, геолокацию и информацию об ASN, лимит 1000 запросов/день

Установка и требования

cymon.io  - Требуется токен аутентификации - зарегистрированный пользователь, лимит: 1000/дней
shodan.io - Требуется токен аутентификации - зарегистрированный пользователь, лимит 100 результатов, ограниченные порты

Настройка токенов осуществляется в файле config.json, который должен находиться в каталоге, где запускается sipi.py << API token from all service is setting up into a "config.json" filename place in the root directory >>

Зависимости

requests

pip install requests

shodan

easy_install shodan

Linux & Windows

Примеры | Examples

 Поиск информации по всем категориям репутации, уровню подверженности и информации об IP
 Получить информацию для IP из списка файлов по всем категориям cymon, а также добавить данные от Shodan и IPInfo
 $> python sipi.py list_ip -A -s -i

 Получить информацию об IP только в категории SPAM, уровне подверженности и информации об IP
 Получить информацию для IP из списка файлов только по категории SPAM от cymon, а также добавить данные от Shodan и IPInfo
 $> python sipi.py list_ip -t spam -s -i
 
 Получить информацию о репутации IP из списка на уровне Malware
 Получить информацию для IP из списка файлов только по категории MALWARE от cymon за 1 день и с лимитом 1000 записей
 $> python sipi.py list_ip -t malware -d 1 -l 1000
 
	-d <дни[1-3]> Можно анализировать репутацию IP только за последние 3 дня
	Если ничего не найдено, возможно, события были более 3 дней назад, попробуйте использовать опцию -d 4
	Для более чем 3 дней использовать -d 4
	
	-l <лимит> Управление количеством результатов для анализа IP - по умолчанию: 100

Пример вывода:

$> python sipi.py lista.txt -d 4 -A

[[@st2labs]] Simple IP Information Tool [[@st2labs]]

 sIPi - is a free recorn tool for obtain IP Address Information from
 many Open Sources: cymon.io | shoda.io | ipinfo.io

Julian J. Gonzalez Caracuel - @rhodius Version: 0.1

 [!] IP ['83.55.23.240s'] недействителен и был удалён из поиска


 Если дней больше 3, автоматически активируется режим смены
 [ip_blacklist > ip_events] для получения информации об IP


 ++++++++++++++++++++++++++++++++++++++
 + Информация получена от: http://cymon.io  +
 +     Проверка ip_events
 ++++++++++++++++++++++++++++++++++++++


 +---------------------------------+
 +-События для IP:93.76.61.78
 +---------------------------------+

   +--

   [!] IP 93.76.61.78 найден в malicious activity BlackList
   Обнаружено: [u'esentire threat labs']

   --+

   [NOT_FOUND] IP 93.76.61.78 в этих КАТЕГОРИЯХ:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']


 +---------------------------------+
 +-События для IP:93.183.250.196
 +---------------------------------+

   +--

   [!] IP 93.183.250.196 найден в malicious activity BlackList
   Обнаружено: [u'esentire threat labs']

   --+

   [NOT_FOUND] IP 93.183.250.196 в этих КАТЕГОРИЯХ:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']


 +---------------------------------+
 +-События для IP:176.101.204.172
 +---------------------------------+

   +--

   [!] IP 176.101.204.172 найден в malicious activity BlackList
   Обнаружено: [u'esentire threat labs']

   --+

   [NOT_FOUND] IP 176.101.204.172 в этих КАТЕГОРИЯХ:['malware', 'botnet', 'spam', 'phishing', 'blacklist', 'dnsbl']

Информация о лицензии

Это свободное программное обеспечение; вы можете распространять его и/или изменять
на условиях Стандартной общественной лицензии GNU, опубликованной
Free Software Foundation, версии 2 лицензии.

Это распространяется в надежде, что оно будет полезным,
но БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ; даже без подразумеваемых гарантий
КОММЕРЧЕСКОЙ ЦЕННОСТИ или ПРИГОДНОСТИ ДЛЯ КОНКРЕТНОЙ ЦЕЛИ. Подробнее см.
Стандартную общественную лицензию GNU.

Вы должны были получить копию Стандартной общественной лицензии GNU
вместе с этой программой; если нет, напишите в Free Software
Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA  02110-1301  USA

SIPI

Популярное