基于公共IP/域名信誉数据生成Snort规则或Cisco IDS签名的工具
由NCC Group Plc以开源形式发布 - http://www.nccgroup.com/
由Will Alexander开发，will dot alexander at nccgroup dot com
https://github.com/nccgroup/IP-reputation-snort-rule-generator
以AGPL协议发布，详见LICENSE文件了解更多信息
./tepig.pl [ [--file=LOCAL_FILE] | [--url=URL] ] [--csv=FIELD_NUM] [--sid=INITIAL_SID] [--ids=[snort|cisco]] | --help
LOCAL_FILE 是本地存储的文件，包含恶意域名、IP地址和/或URL的列表。如果省略，则假定提供了URL。 URL 是包含恶意域名、IP地址或URL列表的URL。默认值为 https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist。 FIELD_NUM 是包含目标信息的字段编号（从0开始索引）。如果省略，则文件被视为简单列表。 INITIAL_SID 是应用于第一条规则的SID。后续每条规则的SID值递增。默认值为9000000。
./tepig.pl --url=https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist
https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist 是一个纯文本文件，包含已知恶意IP地址列表。在撰写本文时，第一个条目是108.161.130.191。输出的第一条规则如下：
alert ip any any <> 108.161.130.191 any (msg:"Traffic to known bad IP (108.161.130.191)"; reference:"url,https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist"; sid:9000000; rev:0;)
此规则查找任何去往或来自该恶意IP地址的流量。
./tepig.pl --url=http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt
http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt 是一个纯文本文件，包含已知恶意域名列表。在撰写本文时，第一个条目是 *.bethira.com。输出的第一条规则如下：
alert udp any any -> any 53 (msg:"Suspicious DNS lookup for *.bethira.com"; reference:"url,http://doc.emergingthreats.net/pub/Main/RussianBusinessNetwork/Storm_2_domain_objects_3-11-2011.txt"; content:"|01 00 00 01 00 00 00 00 00 00|"; depth: 10; offset: 2; content:"|07|bethira|03|com"; nocase; distance:0; sid:9000000; rev:0;)
此规则查找任何对该恶意域名的DNS查询。
