Há mais de um ano venho trabalhando numa ruleset que nasceu com o objetivo de oferecer recursos gratuitamente e difundir o Suricata com funcionalidades que geralmente são pagas em licenças privadas.
Comecei o projeto mapeando vetores de phishing por APIs publicas e sintetizando em regras para Suricata.
OBS.: Não sabe o que é Suricata? É o que era chamado antigamente de antivírus de rede, ele é chamado de Identificador de segurança (em redes). Essa minha explicação não é suficiente mas dá pra entender minha questão aqui. Se não sabe sugiro que pesquisei sobre
Peguei os vetores e separei em quatro tipos de regras: TLS, HTTP, DNS e mais recente IP (mas a regra está sob observação. Bloquear IP é uma grande responsabilidade)
Depois de fazer isso, todo o trabalho de gestão, de evitar duplicações e afins. Nesse último mês, graças a uma dica aqui no reddit pus a integração com NRD (Domínios novos), ele verifica a semelhança e a possibilidade escrita de ser suspeito, ex.: banc0dobrasil.com.br e por aí vai, implementei com uma biblioteca reconhecida pra essa funcionalidade e cadastrei várias empresas grandes baseada nas análises dos vetores já coletados.
Agora a regra já tem integração com o Suricata-updates, opnsense, e vários usuários.
Queria fazer um convite aos usuários daqui também testarem.
Por fim, acho que esse é um bom projeto pra quem quiser contribuir, usar os dados pra produção de relatórios de ameaças e afins. Além disso o projeto conta com um painel web que é possível buscar por vetores e SIDs (id da regra do vetor).
O painel também não é menos importante, ele agrega todos os vetores mapeados e já trazem os dados dos vetores como geoip, whois, teste de DNS, último registro e em alguns casos análise de endpoints (vou explicar pq em alguns casos), o projeto também conta com API pra possíveis integrações de forma gratuita.
Sou atuante na área há mais de 10 anos e queria fazer algo importante pra essa potente ferramenta (Suricata), o software livre é algo grandioso e fico muito feliz em já ter conseguido fazer algo. Aproveito o tempo livre pra trabalhar nesse projeto, ele é atualizado automaticamente e por vezes manualmente mas constantemente 3 vezes ao dia.
Pra explicar o pq não funciona alguns dados, é o mesmo motivo de porque ele não atualiza com tanta frequência, não tenho investimento nenhum. Faço isso usando o github pages, desenvolvi tudo do zero mas às APIs tem rate limit, justamente porque o cenário ideal é que pague a licença pra uso, apesar de tudo tem funcionado, mas tem potencial de muitas melhorias e funcionalidade de escala industriais.
No fim das contas acho que esse projeto faz mais sentido para quem trabalha na área, fica o convite, quem quiser usar, ler, editar, contribuir e até doar, é importante, desse jeito o projeto caminhará muito mais rápido. Quem sabe um dia eu largue tudo e viva dele, e também outros profissionais? Um sonho.
Me senti seguro pra desabafar, viva o software livre
Source: r/secbr · by /u/Limp_Durian_6850