Update snort rule issue + http header detection
This commit is contained in:
Félix Aime
parent
d41ad28c25
commit
e04ef547c2
@ -285,6 +285,54 @@ class ZeekEngine(object):
|
||||
"level": "High",
|
||||
"id": "IOC-07"})
|
||||
|
||||
def http_check(self, dir):
|
||||
"""
|
||||
Check on the http.log:
|
||||
* Blacklisted domain/tld from the Host header field.
|
||||
Can be used when no DNS query have been done during the session (already cached by the device.)
|
||||
:return: nothing - all stuff appended to self.alerts
|
||||
"""
|
||||
|
||||
if os.path.isfile(os.path.join(dir, "http.log")):
|
||||
for record in ParseZeekLogs(os.path.join(dir, "http.log"), output_format="json", safe_headers=False):
|
||||
if record is not None:
|
||||
c = {"host": record['host']}
|
||||
if c not in self.http:
|
||||
self.http.append(c)
|
||||
|
||||
if self.iocs_analysis:
|
||||
for c in self.http:
|
||||
|
||||
# If we already know the host form DNS, let's continue.
|
||||
if c["host"] in [r["domain"] for r in self.dns]:
|
||||
continue
|
||||
|
||||
# Check for blacklisted domain.
|
||||
for h in self.bl_domains:
|
||||
if h[1] != "tracker":
|
||||
if c["host"].endswith(h[0]):
|
||||
self.alerts.append({"title": self.template["IOC-08"]["title"].format(c["host"], h[1].upper()),
|
||||
"description": self.template["IOC-08"]["description"].format(c["host"]),
|
||||
"host": c["host"],
|
||||
"level": "High",
|
||||
"id": "IOC-08"})
|
||||
# Check for freedns.
|
||||
for h in self.bl_freedns:
|
||||
if c["host"].endswith(h[0]):
|
||||
self.alerts.append({"title": self.template["IOC-09"]["title"].format(c["host"]),
|
||||
"description": self.template["IOC-09"]["description"].format(c["host"]),
|
||||
"host": c["host"],
|
||||
"level": "Moderate",
|
||||
"id": "IOC-09"})
|
||||
# Check for fancy TLD.
|
||||
for h in self.bl_tlds:
|
||||
if c["host"].endswith(h[0]):
|
||||
self.alerts.append({"title": self.template["IOC-10"]["title"].format(c["host"]),
|
||||
"description": self.template["IOC-10"]["description"].format(c["host"], h[0]),
|
||||
"host": c["host"],
|
||||
"level": "Low",
|
||||
"id": "IOC-10"})
|
||||
|
||||
def ssl_check(self, dir):
|
||||
"""
|
||||
Check on the ssl.log:
|
||||
@ -345,6 +393,10 @@ class ZeekEngine(object):
|
||||
# Check if the domain in the certificate haven't been blacklisted
|
||||
# This check can be good if the domain has already been cached by
|
||||
# the device so it wont appear in self.dns.
|
||||
|
||||
if any([cert["cn"].endswith(r["domain"]) for r in self.dns]):
|
||||
continue
|
||||
|
||||
for domain in self.bl_domains:
|
||||
if domain[1] != "tracker":
|
||||
if cert["cn"].endswith(domain[0]):
|
||||
@ -399,6 +451,7 @@ class ZeekEngine(object):
|
||||
self.fill_dns(self.working_dir + "/assets/")
|
||||
self.netflow_check(self.working_dir + "/assets/")
|
||||
self.ssl_check(self.working_dir + "/assets/")
|
||||
self.http_check(self.working_dir + "/assets/")
|
||||
self.files_check(self.working_dir + "/assets/")
|
||||
self.alerts_check()
|
||||
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Un certificat associat a activitats {} ha estat identificat en una comunicació cap a {}.",
|
||||
"description": "El certificat ({}) associat a {} ha estat explícitament etiquetat com a maliciós. Això indica que el seu dispositiu està probablement compromès i necessita ser analitzat en profunditat per un especialista forense."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "S'ha fet una petició HTTP a {} que està etiquetada com {}.",
|
||||
"description": "El domini {} identificat en la captura ha estat explícitament etiquetat com a maliciós. Això indica que el dispositiu està probablement compromès i ha de ser investigat en profunditat."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "S'ha fet una petició HTTP a el domini {} que és un DNS gratuït.",
|
||||
"description": "El domini {} està utilitzant un servei DNS gratuït. Aquest tipus de serveis és utilitzat per cibercriminals i altres actors d'amenaces de manera comú. És força sospitós que una aplicació en segon pla utilitzi aquest tipus de serveis.Per favor investigui. "
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "S'ha fet una petició HTTP a el domini {} que conté un TLD sospitós.",
|
||||
"description": "El domini {} està utilitzant un domini de primer nivell -TLD- ({}). Encara que no sigui maliciós, aquest TLP no-genèric és usat per cibercriminals i altres actors d'amenaces amb regularitat. Comproveu aquest domini mitjançant la seva cerca a Internet. Si hi ha altres alertes relacionades amb aquest host, considereu-lo com a molt sospitós. "
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "El domini {} està utilitzant un servidor de noms sospitós ({}).",
|
||||
"description": "El nom de domini {} utilitza un servidor de noms que ha estat explícitament etiquetat i associat a activitat maliciosa. Molts ciberdelinqüents i altres actors d'amenaces utilitzen aquest tipus de registradors ja que accepten criptomonedes i pagaments anònims. Es recomana investigar aquest domini i l'aplicació en execució associada mitjançant un anàlisi forense de el dispositiu. "
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Ein Zertifikat, das mit {} Aktivitäten verknüpft ist, wurde in der Kommunikationsverbindung zu {} gefunden.",
|
||||
"description": "Das Zertifikat ({}), das mit {} verknüpft ist, wurde explizit als bösartig gekennzeichnet. Dies weist darauf hin, dass Ihr Gerät wahrscheinlich kompromittiert ist und eine forensische Analyse benötigt."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "Es wurde eine HTTP-Abfrage zu {} ausgeführt, was als {} gekennzeichnet ist.",
|
||||
"description": "Der in der Aufnahme vorkommende Domain-Name {} wurde explizit als bösartig gekennzeichnet. Dies weist darauf hin, dass Ihr Gerät wahrscheinlich kompromittiert ist und eingehend untersucht werden muss."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "Es wurde eine HTTP-Abfrage zur Domain {} ausgeführt, die einen Free-DNS-Dienst nutzt.",
|
||||
"description": "Der Domain-Name {} nutzt einen Free-DNS-Dienst. Dienste dieser Art werden häufig von Cyberkriminellen oder staatlich unterstützten Angreifern bei ihren Operationen genutzt. Es ist sehr verdächtig, dass eine im Hintergrund laufende Anwendung einen solchen Dienst verwendet. Bitte untersuchen Sie das näher."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "Es wurde eine HTTP-Abfrage zur Domain {} ausgeführt, die eine verdächtige TLD enthält.",
|
||||
"description": "Der Domain-Name {} nutzt eine verdächtige Top-Level-Domain ({}). Diese nicht-generische TLD ist zwar selbst nicht bösartig, wird aber häufig von Cyberkriminellen und bei staatlich unterstützten Operationen verwendet. Bitte überprüfen Sie diese Domain anhand einer Internetsuche. Wenn dieser Host in anderen Warnungen erwähnt wird, können Sie ihn als sehr verdächtig betrachten."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "Die Domain {} nutzt einen verdächtigen Nameserver ({}).",
|
||||
"description": "Der Domain-Name {} nutzt einen Nameserver, der explizit mit bösartigen Aktivitäten in Verbindung gebracht wird. Viele Cyberkriminelle und staatlich unterstützte Angreifer nutzen Registrare dieser Art, weil sie Kryptowährungen und anonyme Zahlungen zulassen. Es wird empfohlen, diese Domain und die damit verknüpfte laufende Anwendung mithilfe einer forensischen Analyse des Telefons näher zu untersuchen."
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "A certificate associated to {} activities have been found in the communication to {}.",
|
||||
"description": "The certificate ({}) associated to {} has been explicitly tagged as malicious. This indicates that your device is likely compromised and need a forensic analysis."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "An HTTP request have been done to {} which is tagged as {}.",
|
||||
"description": "The domain name {} seen in the capture has been explicitly tagged as malicious. This indicates that your device is likely compromised and needs to be investigated deeply."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "An HTTP request have been done to the domain {} which is a Free DNS.",
|
||||
"description": "The domain name {} is using a Free DNS service. This kind of service is commonly used by cybercriminals or state-sponsored threat actors during their operations. It is very suspicious that an application running in background use this kind of service, please investigate."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "An HTTP request have been done to the domain {} which contains a suspect TLD.",
|
||||
"description": "The domain name {} is using a suspect Top Level Domain ({}). Even not malicious, this non-generic TLD is used regularly by cybercrime or state-sponsored operations. Please check this domain by searching it on an internet search engine. If other alerts are related to this host, please consider it as very suspicious."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "The domain {} is using a suspect nameserver ({}).",
|
||||
"description": "The domain name {} is using a nameserver that has been explicitly tagged to be associated to malicious activities. Many cybercriminals and state-sponsored threat actors are using this kind of registrars because they allow cryptocurrencies and anonymous payments. It is adviced to investigate on this domain and the associated running application by doing a forensic analysis of the phone."
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Un certificado asociado a actividades {} ha sido identificado en una comunicación hacia {}.",
|
||||
"description": "El certificado ({}) asociado a {} ha sido explícitamente etiquetado como malicioso. Esto indica que su dispositivo está probablemente comprometido y necesita ser analizado en profundidad por un especialista forense."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "Se ha realizado una petición HTTP a {} que está etiquetada como {}.",
|
||||
"description": "El dominio {} identificado en la captura ha sido explícitamente etiquetado como malicioso. Esto indica que su dispositivo está probablemente comprometido y debe ser investigado en profundidad."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "Se ha realizado una petición HTTP al dominio {} que es un DNS gratuito.",
|
||||
"description": "El dominio {} está usando un servicio DNS gratuito. Este tipo de servicios es comúnmente utilizado por cibercriminales y otros actores de amenazas. Es altamente sospechoso que una aplicación ejecutándose en segundo plano use este tipo de servicios. Por favor investigue."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "Se ha realizado una petición HTTP al dominio {} que contiene un TLD sospechoso.",
|
||||
"description": "El dominio {} está usando un dominio de primero nivel -TLD- ({}). Aunque no sea malicioso, este TLP no-genérico es usado por cibercriminales y otros actores de amenazas con regularidad. Verifique este dominio mediante su búsqueda en Internet. Si hay otras alertas relacionadas con este host, por favor considérelo como muy sospechoso."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "El dominio {} está usando un servidor de nombres sospechoso ({}).",
|
||||
"description": "El nombre de dominio {} usa un servidor de nombres que ha sido explícitamente etiquetado como asociado a actividad maliciosa. Muchos ciberdelincuentes y otros actores de amenazas utilizan este tipo de registradores ya que aceptan criptomonedas y pagos anónimos. Se recomienda investigar este dominio y la aplicación en ejecución asociada mediante un análisis forense del dispositivo."
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Un certificat associé à des activités de {} a été vu lors de communications vers {}.",
|
||||
"description": "Le certificat ({}) associé au serveur {} a été explicitement catégorisé comme malveillant. Votre appareil est sûrement compromis et doit être investigué plus en détails par une équipe professionnelle."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "Requête HTTP vers le domaine {} qui est tagué en tant que {}.",
|
||||
"description": "Le serveur {} vers lequel communique votre appareil a été explicitement catégorisé en tant que malveillant. Votre appareil est sûrement compromis et doit être investigué plus en détails par une équipe professionnelle."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "Requête HTTP vers le domaine {} qui est un domaine gratuit.",
|
||||
"description": "Le nom de domaine {} utilise un service de noms de domaine gratuits. Ce type de service est couramment utilisé par les cybercriminels ou des acteurs associés à des États au cours de leurs opérations d'espionnage. Il est très suspect qu'une application exécutée en arrière-plan utilise ce type de service, veuillez enquêter."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "Requête HTTP vers le domaine {} contenant une extension suspecte.",
|
||||
"description": "Le nom de domaine {} utilise une extension suspecte ({}). Même si cela n'est pas malveillant en-soi, l'utilisation d'une extension non générique est l'apanage d'acteurs cybercriminels et étatiques durant leurs opérations. Veuillez vérifier la pertinance de ce domaine en le recherchant sur un moteur de recherche Internet. Si d'autres alertes sont liées à ce dernier, veuillez le considérer comme très suspect."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "Le domaine {} utilise un serveur de noms suspect ({}).",
|
||||
"description": "Le nom de domaine {} utilise un serveur de noms qui a été explicitement catégorisé comme associé à des activités malveillantes. Plusieurs cybercriminels et acteurs étatiques utilisent ce type de serveurs de noms car ils autorisent les paiements anonymes grâce aux cryptomonnaies. Il est conseillé d'investiguer sur ce domaine et l'application s'y connectant en réalisant une analyse post-mortem de l'appareil analysé."
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Nella comunicazione a {} è stato rilevato un certificato associato ad attività {}.",
|
||||
"description": "Il certificato ({}) associato a {} è stato esplicitamente contrassegnato come dannoso. Questo indica che il dispositivo è potenzialmente compromesso e necessita di un'analisi forense."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "È stata effettuata una richiesta HTTP a {} con contrassegno {}.",
|
||||
"description": "Il nome di dominio {} visualizzato nell'acquisizione è stato esplicitamente contrassegnato come dannoso. Questo indica che il dispositivo è potenzialmente compromesso e deve essere esaminato a fondo."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "È stata effettuata una richiesta HTTP al dominio {} che è un servizio Free DNS.",
|
||||
"description": "Il nome di dominio {} utilizza un servizio Free DNS. Questo tipo di servizio è comunemente utilizzato durante le operazioni di criminali informatici o autori di attacchi commissionati da stati esteri. L'utilizzo di questo tipo di servizio da parte di un'applicazione in esecuzione in background è molto sospetto e richiede ulteriori indagini."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "È stata effettuata una richiesta HTTP al dominio {} contenente un dominio di primo livello sospetto.",
|
||||
"description": "Il nome di dominio {} utilizza un dominio di primo livello sospetto ({}). Anche se non dannoso, questo dominio di primo livello non generico viene utilizzato regolarmente durante le operazioni di criminali informatici o autori di attacchi commissionati da stati esteri. Controllare questo dominio effettuando una ricerca tramite un motore di ricerca Internet. Se altri avvisi sono correlati all'host, è necessario considerare questo elemento molto sospetto."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "Il dominio {} utilizza un server dei nomi sospetto ({}).",
|
||||
"description": "Il nome di dominio {} utilizza un server dei nomi che è stato esplicitamente contrassegnato come associato ad attività dannose. Molti criminali informatici e autori di attacchi commissionati da stati esteri utilizzano questo tipo di registrar poiché sono ammessi criptovalute e pagamenti anonimi. È consigliabile indagare su questo dominio e sull'applicazione in esecuzione associata eseguendo un'analisi forense del telefono."
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Um certificado associado a atividades de {} foi encontrado na comunicação para {}.",
|
||||
"description": "O certificado ({}) associado a {} foi explicitamente marcado como malicioso. Isso indica que o dispositivo provavelmente foi comprometido e precisa de uma análise forense."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "Uma solicitação de HTTP foi feita para {}, marcado como {}.",
|
||||
"description": "O nome de domínio {} visto na captura foi explicitamente marcado como malicioso. Isso indica que o dispositivo provavelmente foi comprometido e precisa ser analisado com cuidado."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "Uma solicitação de HTTP foi feita para o domínio {}, que é um DNS gratuito.",
|
||||
"description": "O nome de domínio {} está usando um serviço de DNS gratuito. Esse tipo de serviço é comumente usado por cibercriminosos ou agências de inteligência estatais no exercício de suas funções. É muito suspeito que aplicativos em execução em segundo plano usem esse tipo de serviço e isso deve ser analisado com cuidado."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "Uma solicitação de HTTP foi feita para o domínio {}, que contém um TLD (domínio de nível superior) suspeito.",
|
||||
"description": "O nome de domínio {} está usando um TLD suspeito ({}). Mesmo não sendo malicioso, esse TLD não genérico é frequentemente usado por cibercriminosos ou agências de inteligência estatais. Analise a reputação do domínio pesquisando-o na internet. Se outros alertas forem observados, considere esse host como muito suspeito."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "O domínio {} está usando um servidor de nomes suspeito ({}).",
|
||||
"description": "O nome de domínio {} está usando um servidor de nomes explicitamente marcado como associado a atividades maliciosas. Muitos cibercriminosos e agentes de inteligência estatais usam esse tipo de registradores porque isso permite pagamentos com criptomoedas e anônimos. É recomendável investigar esse domínio e o aplicativo em execução por meio de uma análise forense do telefone."
|
||||
|
||||
@ -48,6 +48,18 @@
|
||||
"title": "Сертификат, связанный с действиями {}, был обнаружен при взаимодействии с {}.",
|
||||
"description": "Сертификат ({}), связанный с {}, явно отмечен как вредоносный. Это указывает на то, что ваше устройство, вероятно, взломано и требуется провести экспертный анализ."
|
||||
},
|
||||
"IOC-08": {
|
||||
"title": "Выполнен HTTP-запрос к {}, отмеченному как {}.",
|
||||
"description": "Доменное имя {}, обнаруженное при сборе данных, явно отмечено как вредоносное. Это указывает на то, что ваше устройство, вероятно, взломано и требуется тщательное расследование."
|
||||
},
|
||||
"IOC-09": {
|
||||
"title": "Выполнен HTTP-запрос к домену {}, использующему бесплатную службу DNS.",
|
||||
"description": "Доменное имя {} использует бесплатную службу DNS. Такие службы обычно используются киберпреступниками или спонсируемыми государством злоумышленниками для атак. Очень подозрительно, что приложение, работающее в фоновом режиме, использует такую службу. Требуется расследование."
|
||||
},
|
||||
"IOC-10": {
|
||||
"title": "Выполнен HTTP-запрос к домену {}, содержащему подозрительный домен верхнего уровня.",
|
||||
"description": "Доменное имя {} использует подозрительный домен верхнего уровня ({}). Даже не являясь вредоносным, этот не универсальный домен верхнего уровня регулярно используется киберпреступниками или спонсируемыми государством злоумышленниками. Проверьте этот домен, выполнив поиск в интернете. Если с этим устройством связаны другие предупреждения, это очень подозрительно."
|
||||
},
|
||||
"ACT-01": {
|
||||
"title": "Домен {} использует подозрительный сервер имен ({}).",
|
||||
"description": "Доменное имя {} использует сервер имен, который явно отмечен как связанный с вредоносными действиями. Многие киберпреступники и спонсируемые государством злоумышленники пользуются такими регистраторами, поскольку они позволяют использовать криптовалюту и анонимные платежи. Рекомендуется исследовать этот домен и связанные с ним работающие приложения, выполнив экспертный анализ телефона."
|
||||
|
||||
@ -1,11 +1,12 @@
|
||||
#!/usr/bin/env python3
|
||||
# -*- coding: utf-8 -*-
|
||||
|
||||
from flask import Blueprint, jsonify, Response
|
||||
from flask import Blueprint, jsonify, Response, request
|
||||
from app.decorators import require_header_token, require_get_token
|
||||
from app.classes.iocs import IOCs
|
||||
|
||||
import json
|
||||
from urllib.parse import unquote
|
||||
|
||||
ioc_bp = Blueprint("ioc", __name__)
|
||||
ioc = IOCs()
|
||||
@ -19,6 +20,8 @@ def add(ioc_type, ioc_tag, ioc_tlp, ioc_value):
|
||||
:return: status of the operation in JSON
|
||||
"""
|
||||
source = "backend"
|
||||
if ioc_type == "snort":
|
||||
ioc_value = unquote("/".join(request.full_path.split("/")[7:]))
|
||||
res = IOCs.add(ioc_type, ioc_tag, ioc_tlp, ioc_value, source)
|
||||
return jsonify(res)
|
||||
|
||||
|
||||
Loading…
Reference in New Issue
Block a user