Tehditleri sessizce dışarıda tutar.

İki yol, tek kaynak #two-paths

İhtiyacınıza göre seçin. İkisini birden de yapabilirsiniz — aynı SGB API'sinden farklı artifact'lar üretiriz, biri firewall'unuza, diğeri SIEM'inize gider.

Canlı feed URL'leri #feeds

Engelleme cihazlarına doğrudan verebileceğiniz public URL'ler. Saatlik tazelenir, Fastly CDN üzerinden servis edilir.

Engelleme — firewall / proxy entegrasyonu #engelle

Cihazınızı seçin. Tüm örneklerde varsayılan base URL https://bilsectr.github.io/sgb-api-bridge/'dir; kendi fork / Docker / Kubernetes sunucunuzu kullanıyorsanız sadece host kısmını değiştirin.

config system external-resource
    edit "SGB-Domain"
        set type domain
        set resource "https://bilsectr.github.io/sgb-api-bridge/domain-list.txt"
        set refresh-rate 60
        set status enable
    next
    edit "SGB-IP"
        set type address
        set resource "https://bilsectr.github.io/sgb-api-bridge/ip-list.txt"
        set refresh-rate 60
        set status enable
    next
    edit "SGB-URL"
        set category 192
        set type category
        set resource "https://bilsectr.github.io/sgb-api-bridge/url-list.txt"
        set refresh-rate 60
        set status enable
    next
end

diagnose sys external-resource entry-list
diagnose sys external-resource refresh SGB-Domain

# GUI: Log & Report → Forward Traffic → Action=Deny filtresi
diagnose debug flow filter daddr <test-ip>
diagnose debug flow trace start 10
diagnose debug enable

configure
set external-list SGB-IP type ip url \
    https://bilsectr.github.io/sgb-api-bridge/ip-list.txt recurring hourly
set external-list SGB-Domain type domain url \
    https://bilsectr.github.io/sgb-api-bridge/domain-list.txt recurring hourly
set external-list SGB-URL type url url \
    https://bilsectr.github.io/sgb-api-bridge/url-list.txt recurring hourly
commit

request system external-list refresh type ip name SGB-IP
request system external-list show  type ip name SGB-IP

# Web UI: Group Management → Adlists → Add
https://bilsectr.github.io/sgb-api-bridge/domain-list.txt

# Sonra gravity tazele:
pihole -g

# /etc/squid/squid.conf
acl sgb_blacklist dstdomain "/etc/squid/sgb-domain-list.txt"
http_access deny sgb_blacklist

# crontab -e (saatlik)
17 * * * * curl -sf https://bilsectr.github.io/sgb-api-bridge/domain-list.txt \
  -o /etc/squid/sgb-domain-list.txt && systemctl reload squid

/system script add name=sgb-sync source={
  /tool fetch url="https://bilsectr.github.io/sgb-api-bridge/ip-list.txt" \
    mode=https dst-path=sgb-ip.txt
  /ip firewall address-list remove [find list=SGB]
  :local data [/file get sgb-ip.txt contents]
  :foreach line in=[:toarray $data] do={
    :if ([:len $line] > 0) do={
      /ip firewall address-list add list=SGB address=$line
    }
  }
}
/system scheduler add name=sgb-hourly interval=1h on-event=sgb-sync

SIEM / İzleme — TAXII 2.1 servisi #siem

Tek public TAXII 2.1 endpoint. Tüm modern SIEM/TIP/XDR ürünleri kendi built-in TAXII client'ı ile bu URL'yi doğrudan çeker — özel script, push servisi veya artifact build'i yoktur. Anonim, kimlik doğrulama yok. Saatte bir tazelenir.

Koleksiyonlar (connectiontype bazında)

8 koleksiyon, use case kütüphanesi ile birebir eşleşir.

Ürün bazlı rehberler

Use Case kütüphanesi

Hızlı doğrulama (curl)

# Discovery
curl -sH 'Accept: application/taxii+json;version=2.1' \
  https://sgb-taxii.bilsec.tr/taxii2/

# Saatlik incremental — son 1 saatte degisen phishing indicator'lar
SINCE=$(date -u -d '1 hour ago' +%Y-%m-%dT%H:%M:%S.000Z)
curl -s "https://sgb-taxii.bilsec.tr/api/collections/sgb-phishing/objects/?added_after=$SINCE"

Dağıtım seçenekleri #deploy

Projeyi kullanmanın üç yolu vardır. İhtiyacınıza göre seçin — hepsi aynı çıktıyı (txt feed + TAXII 2.1) üretir, sadece kim host eder ve nereden servis edilir farkı vardır.

Docker — hızlı başlangıç (firewall feed + TAXII servisi birlikte)

docker run -d \
  --name sgb-api-bridge \
  -p 8080:80 \
  -v sgb-api-bridge-data:/data \
  --restart unless-stopped \
  ghcr.io/bilsectr/sgb-api-bridge:latest

# Endpoint'ler:
#   http://<sunucu>:8080/domain-list.txt                  (firewall icin)
#   http://<sunucu>:8080/ip-list.txt
#   http://<sunucu>:8080/taxii2/                          (TAXII 2.1 discovery)
#   http://<sunucu>:8080/api/collections/sgb-phishing/objects/   (SIEM TAXII client)

Nasıl çalışır? #how

Saatlik tam sync + her sync sonrası TAXII rebuild + edge servis.

Mimari

• GitHub Actions (hourly) → sync.py --mode full → SQLite + txt feed
• SGB API: siberguvenlik.gov.tr/api/address/index (newest-first, monoton ID)
• Aynı pipeline: build_taxii.py → docs/taxii/ (statik TAXII 2.1 ağacı)
• Yayın: GitHub Pages (txt feed + TAXII ağacı) + Cloudflare Worker (sgb-taxii.bilsec.tr) + Docker / K8s imajı (nginx ile self-host)

CLI ile lokal çalıştırma

pip install requests

python scripts/sync.py --mode full     # SGB API'sini bastan sona cek (saatlik aksiyonun yaptigi sey)
python scripts/sync.py --mode loop     # docker icin: belirli araliklarla full sync tetikler
python scripts/build_taxii.py          # docs/taxii/ statik TAXII agacini uret

Sorumluluk reddi & lisans

Bu proje Siber Güvenlik Başkanlığı ile resmi bir bağlantısı olmayan, kâr amacı gütmeyen, açık kaynak bir araçtır. Üretim sistemlerinde "as-is" kullanılır; veri doğruluğundan SGB sorumludur. Kaynak kod MIT lisansı altındadır.