Da pochi giorni abbiamo presentato per i nostri clienti e per tutti gli utenti che ne volessero fare uso una blacklist composta da indirizzi ip che a contatto con i sensori presenti sui nostri sistemi sono stati rilevati come sorgente di attività malevole.
I criteri per cui c’è il rischio di essere inclusi nella lista :
- l’ip è stato sorgente di spam negli ultimi 30 giorni
- l’ip è stato sorgente di brute force, scanning, DoS o qualsiasi altro tentativo di attacco
- l’ip è situato in una delle nazioni ad alto rischio informatico (Stati Uniti, Cina, Russia, Brasile ecc.)
La combinazione di più di due di queste occorrenze fa si che l’ip venga inserito in blacklist. La lista viene aggiornata regolarmente, su base quasi giornaliera.
Potete trovare la blacklist seguendo questo link. La lista può essere utilizzata all’interno di firewall dedicati e script di firewalling iptables based come CSF e APF. Anche Shorewall permette di utilizzare una blacklist, specificando gli ip all’interno del file di configurazione /etc/shorewall/blacklist.
Per assicurare la maggiore accuratezza possibile la blacklist viene verificata periodicamente per garantire che gli ip contenuti all’interno siano ancora attivi. Molto spesso dopo un attacco la sorgente dello stesso scompare e diventa un ip morto. Bloccare ip non più attivi costituirebbe uno spreco di risorse ed è per questo motivo che la lista viene sottoposta a controllo periodico.
Molta attenzione viene posta inoltre sui falsi positivi. Prima di essere inserito in blacklist l’ip viene sottoposto ad un accurata verifica per garantire che la sorgente sia effettivamente un rischio concreto da bloccare.
Per segnalazioni di verifica ed eliminazioni di falsi positivi contattaci all’indirizzo sec@servermanaged.it
Per utilizzare la lista inserisci questo link nell’apposita sezione del tuo firewall relativa alle blacklist dinamiche o utilizza gli ip copiando il contenuto della blacklist all’interno della configurazione, nella sezione dedicata alla gestione delle drop lists.
Pingback: I provider e la sicurezza lato cliente
Pingback: Blacklist dinamiche con Shorewall
Pingback: Update: servermanaged DROP LIST « Servizi managed e gestione server – servermanaged.it blog