Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

IP-Reputation

December 12, 2023
Beitrag von: 
C

IP-Reputation ist ein Tool, das IP-Adressen identifiziert, die unerwünschte Anfragen senden. Mithilfe der IP-Reputationsliste können Sie Anfragen ablehnen, die von einer IP-Adresse mit einem schlechten Ruf kommen. Optimieren Sie die Leistung der Web Application Firewall, indem Sie Anfragen filtern, die Sie nicht verarbeiten möchten. Setzen Sie eine Anfrage zurück, löschen Sie sie oder konfigurieren Sie sogar eine Responder Policy, um eine bestimmte Responder Action auszuführen.

Die folgenden Angriffe können Sie mithilfe der IP-Reputation verhindern:

  • Virus Infizierte PCs. (Heim-PCs) sind die größte Spam-Quelle im Internet. IP Reputation kann die IP-Adresse identifizieren, die unerwünschte Anfragen sendet. Die IP-Reputation kann besonders nützlich sein, um große DDoS-, DoS- oder anomale SYN-Flood-Angriffe von bekannten infizierten Quellen zu blockieren.
  • Zentrales verwaltetes und automatisiertes Botnet. Angreifer haben aufgrund des Diebstahls von Kennwörtern an Popularität gewonnen, da es nicht lange dauert, bis Hunderte von Computern zusammenarbeiten, um Ihr Kennwort zu knacken. Es ist einfach, Botnet-Angriffe zu starten, um Kennwörter herauszufinden, die häufig verwendete Wörterbuchwörter verwenden.
  • Kompromittierter Webserver. Angriffe sind nicht so häufig, da das Bewusstsein und die Serversicherheit zugenommen haben, sodass Hacker und Spammer nach einfacheren Zielen suchen. Es gibt immer noch Webserver und Online-Formulare, die Hacker kompromittieren und zum Versenden von Spam verwenden können (wie Viren und Pornos). Solche Aktivitäten sind einfacher zu erkennen und schnell herunterzufahren oder mit einer Reputationsliste wie SpamRats zu blockieren.
  • Windows Exploits. (wie Active IPs, die Malware, Shell-Code, Rootkits, Würmer oder Viren anbieten oder verbreiten).
  • Bekannte Spammer und Hacker.
  • Massen-E-Mail-Marketingkampagnen.
  • Phishing-Proxys (IP-Adressen, die Phishing-Websites hosten, und andere Betrugsfälle wie Werbeklickbetrug oder Spielbetrug).
  • Anonyme Proxys (IPs, die Proxy- und Anonymisierungsdienste bereitstellen, einschließlich The Onion Router alias TOR).

Eine NetScaler ADC-Appliance verwendet Webroot als Dienstanbieter für eine dynamisch generierte bösartige IP-Datenbank und die Metadaten für diese IP-Adressen. Metadaten können Geolokationsdetails, Bedrohungskategorie, Bedrohungszahl usw. enthalten. Die Webroot Threat Intelligence-Engine erhält Echtzeitdaten von Millionen von Sensoren. Es erfasst, scannt, analysiert und bewertet die Daten automatisch und kontinuierlich mithilfe von fortschrittlichem maschinellem Lernen und Verhaltensanalysen. Die Informationen über eine Bedrohung werden ständig aktualisiert.

Die NetScaler ADC Appliance validiert eine eingehende Anfrage auf ihren schlechten Ruf mithilfe der Webroot verwendet die IP-Reputationsdatenbank. Die Datenbank verfügt über eine riesige Sammlung von IP-Adressen klassifizierten IP-Bedrohungskategorien. Im Folgenden sind die Kategorien von IP-Bedrohungen und deren Beschreibung aufgeführt.

  • Spam-Quellen. Spam-Quellen umfassen das Tunneln von Spam-Nachrichten über Proxy, anomale SMTP-Aktivitäten und Forum-Spam-Aktivitäten.
  • Windows Exploits. Die Kategorie Windows Exploits umfasst aktive IP-Adressen, die Malware, Shellcode, Rootkits, Würmer oder Viren anbieten oder verteilen
  • Internet-Angriffe. Die Kategorie Webangriffe umfasst Cross-Site-Scripting, IFrame-Injection, SQL-Injection, Cross-Domain-Injection oder Domain-Kennwort-Brute-Force-Angriff
  • Botnetze. Die Botnet-Kategorie umfasst Botnet-C&C-Kanäle und infizierte Zombie-Computer, die vom Bot-Master gesteuert werden
  • Scanner. Die Kategorie Scanner umfasst alle Erkennungsmethoden wie Sonden, Host-Scan, Domain-Scan und Brute-Force-Angriff mit Kennwörtern
  • Diensteverweigerung. Die Kategorie Denial of Services umfasst DOS, DDOS, anomale Synchronisierungsflut und Erkennung anomalen Datenverkehrs
  • Ruf. Den Zugriff von IP-Adressen verweigern, von denen derzeit bekannt ist, dass sie mit Malware infiziert sind. Diese Kategorie umfasst auch IPs mit einem durchschnittlich niedrigen Webroot Reputation Index. Die Aktivierung dieser Kategorie verhindert den Zugriff von identifizierten Quellen zur Kontaktaufnahme mit Malware-Verteilungspunkten.
  • Phishing. Die Kategorie Phishing umfasst IP-Adressen, auf denen Phishing-Websites gehostet werden, und andere Arten von Betrugsaktivitäten wie Ad-Click Fraud oder Gaming-Betrug.
  • Proxy. Die Kategorie Proxy umfasst IP-Adressen, die Proxy- und Def-Dienste bereitstellen.
  • Mobile Bedrohungen. Die Kategorie Mobile Threats umfasst IP-Adressen bösartiger und unerwünschter mobiler Anwendungen. Diese Kategorie nutzt Daten des Webroot Forschungsteams für mobile Bedrohungen.
  • Tor-Proxy. Die Kategorie Tor Proxy umfasst IP-Adressen, die als Ausgangsknoten für das Tor-Netzwerk dienen. Ausgangsknoten sind der letzte Punkt entlang der Proxykette und stellen eine direkte Verbindung zum beabsichtigten Ziel des Urhebers her.

Wenn irgendwo im Netzwerk eine Bedrohung erkannt wird, wird die IP-Adresse als bösartig gekennzeichnet und alle mit dem Netzwerk verbundenen Geräte sind sofort geschützt. Die dynamischen Änderungen der IP-Adressen werden mithilfe von fortschrittlichem maschinellem Lernen mit hoher Geschwindigkeit und Genauigkeit verarbeitet.

Wie im Datenblatt von Webroot angegeben, identifiziert das Sensornetzwerk des Webroot viele wichtige IP-Bedrohungsarten, darunter Spam-Quellen, Windows-Exploits, Botnetze, Scanner und andere. (Siehe das Flussdiagramm auf dem Datenblatt.)

Die NetScaler ADC-Appliance verwendet den Clientprozess iprep, um die Datenbank von Webroot abzurufen. Der Client iprep verwendet die Methode HTTP GET, um zum ersten Mal die absolute IP-Liste von Webroot abzurufen. Später werden alle 5 Minuten Delta-Änderungen überprüft.

Wichtig:

  • Stellen Sie sicher, dass die NetScaler ADC Appliance über Internetzugang verfügt und DNS konfiguriert ist, bevor Sie die IP-Reputationsfunktion verwenden.

  • Um auf die Webroot Datenbank zuzugreifen, muss die NetScaler ADC-Appliance in der Lage sein, eine Verbindung zu api.bcti.brightcloud.com auf Port 443herzustellen. Jeder Knoten in der HA- oder Clusterbereitstellung erhält die Datenbank von Webroot und muss auf diesen vollqualifizierten Domänennamen (FQDN) zugreifen können.

  • Webroot hostet derzeit seine Reputationsdatenbank in AWS. Daher muss NetScaler ADC in der Lage sein, AWS-Domänen für das Herunterladen der Reputationsdatenbank aufzulösen. Außerdem muss die Firewall für AWS-Domains offen sein.

Hinweis:

Jede Paket-Engine benötigt mindestens 4 GB, um ordnungsgemäß zu funktionieren, wenn die IP-Reputationsfunktion aktiviert ist.

Erweiterte Richtlinienausdrücke. Konfigurieren Sie die Funktion “IP-Reputation” mithilfe erweiterter Richtlinienausdrücke (Standardsyntaxausdrücke) in den Richtlinien, die an unterstützte Module wie Web Application Firewall und Responder gebunden sind. Im Folgenden finden Sie zwei Beispiele mit Ausdrücken, mit denen erkannt werden kann, ob die Client-IP-Adresse bösartig ist.

  1. CLIENT.IP.SRC.IPREP_IS_MALICIOUS: Dieser Ausdruck wird als TRUE ausgewertet, wenn der Client in die Liste der böswilligen IP-Adressen aufgenommen wurde.
  2. CLIENT.IP.SRC.IPREP_THREAT_CATEGORY (CATEGORY): Dieser Ausdruck wird als TRUE ausgewertet, wenn die Client-IP böswillige IP ist und zur angegebenen Bedrohungskategorie gehört.

Im Folgenden sind die möglichen Werte für die Bedrohungskategorie:

SPAM_SOURCES, WINDOWS_EXPLOITS, WEB_ATTACKS, BOTNETS, SCANNERS, DOS, REPUTATION, PHISHING, PROXY, NETWORK, CLOUD_PROVIDERS, MOBILE_THREATS, TOR_PROXY.

Hinweis:

Die IP-Reputationsfunktion prüft sowohl Quell- als auch Ziel-IP-Adressen. Es erkennt böswillige IPs im Header. Wenn der PI-Ausdruck in einer Richtlinie die IP-Adresse identifizieren kann, bestimmt die IP-Reputationsprüfung, ob sie bösartig ist.

iPrep Protokollnachricht. Die Datei /var/log/iprep.log enthält nützliche Nachrichten, die Informationen über die Kommunikation mit der Webroot-Datenbank erfassen. Die Informationen können sich auf die während der Webrootkommunikation verwendeten Anmeldeinformationen beziehen, die fehlende Verbindung mit Webroot, Informationen, die in einem Update enthalten sind (z. B. die Anzahl der IP-Adressen in der Datenbank).

Erstellen einer Sperrliste oder einer Allowlist von IPs unter Verwendung eines Richtliniendatensatzes. Sie können eine Positivliste verwalten, um den Zugriff auf bestimmte IP-Adressen zu ermöglichen, die in der Webroot-Datenbank blockiert sind. Sie können auch eine angepasste Sperrliste von IP-Adressen erstellen, um die Reputationsprüfung von Webroot zu ergänzen. Diese Listen können mithilfe eines Richtliniendatensatzeserstellt werden. Ein Datensatz ist eine spezielle Form von Mustersatz, die sich ideal für den IPv4-Adressabgleich eignet. Um Datensätze zu verwenden, erstellen Sie zuerst den Datensatz und binden IPv4-Adressen an ihn. Verwenden Sie beim Konfigurieren einer Richtlinie zum Vergleichen einer Zeichenfolge in einem Paket einen entsprechenden Operator und übergeben Sie den Namen des Mustersatzes oder Datensatzes als Argument.

So erstellen Sie eine Positivliste von Adressen, die während der IP-Reputationsbewertung als Ausnahmen behandelt werden sollen:

  • Konfigurieren Sie die Richtlinie so, dass der PI-Ausdruck auf False ausgewertet wird, selbst wenn eine Adresse in der Positivliste von Webroot (oder einem Dienstanbieter) als bösartig aufgeführt wird.

IP-Reputation aktivieren oder deaktivieren. Die IP-Reputation ist Teil der allgemeinen Reputationsfunktion, die lizenzbasiert ist. Wenn Sie die Reputationsfunktion aktivieren oder deaktivieren, wird die IP-Reputation aktiviert oder deaktiviert.

Allgemeines Verfahren. Die Bereitstellung von IP-Reputation umfasst die folgenden Aufgaben:

  • Stellen Sie sicher, dass die auf der NetScaler ADC-Appliance installierte Lizenz IP-Reputationsunterstützung bietet. Premium- und Standalone-Anwendungsfirewall-Lizenzen unterstützen die IP-Reputationsfunktion.
  • Aktivieren Sie die Funktionen für IP-Reputation und Anwendungsfirewall.
  • Fügen Sie ein Anwendungs-Firewall-Profil hinzu.
  • Fügen Sie mithilfe der PI-Ausdrücke eine Anwendungsfirewall-Richtlinie hinzu, um die böswilligen IP-Adressen in der IP-Reputation-Datenbank zu identifizieren.
  • Binden Sie die Anwendungsfirewall-Richtlinie an einen entsprechenden Bindepunkt.
  • Stellen Sie sicher, dass jede Anfrage von einer böswilligen Adresse in der Datei ns.log protokolliert wird, um anzuzeigen, dass die Anforderung wie im Profil angegeben verarbeitet wurde.

Konfigurieren Sie die IP-Reputationsfunktion über die CLI

Geben Sie in der Befehlszeile Folgendes ein:

  • enable feature reputation
  • disable feature reputation

Die folgenden Beispiele zeigen, wie Sie mithilfe des PI-Ausdrucks eine Anwendungsfirewall-Richtlinie hinzufügen können, um schädliche Adressen zu identifizieren. Sie können die integrierten Profile verwenden, ein Profil hinzufügen oder ein vorhandenes Profil konfigurieren, um die gewünschte Aktion aufzurufen, wenn eine Anforderung mit einer Richtlinienübereinstimmung übereinstimmt.

Beispiele 3 und 4 zeigen, wie ein Richtlinien-Dataset erstellt wird, um eine Sperrliste oder eine Positivliste von IP-Adressen zu generieren.

Beispiel 1:

Der folgende Befehl erstellt eine Richtlinie, die böswillige IP-Adressen identifiziert und die Anforderung blockiert, wenn eine Übereinstimmung ausgelöst wird:

add appfw policy pol1 CLIENT.IP.SRC.IPREP_IS_MALICIOUS APPFW_BLOCK

Beispiel 2:

Der folgende Befehl erstellt eine Richtlinie, die den Reputationsdienst verwendet, um die Client-IP-Adresse im Header X-Forwarded-For zu überprüfen und die Verbindung zurückzusetzen, wenn eine Übereinstimmung ausgelöst wird.

> add appfw policy pol1 "HTTP.REQ.HEADER(\"X-Forwarded-For\").TYPECAST_IP_ADDRESS_AT.IPREP_IS_MALICIOUS" APPFW_RESET**

Beispiel 3:

Das folgende Beispiel zeigt, wie eine Liste hinzugefügt wird, um Ausnahmen hinzuzufügen, die bestimmte IP-Adressen zulassen:

> add policy dataset Allow_list1 ipv4

> bind policy dataset Allow_list1 10.217.25.17 -index 1

> bind policy dataset Allow_list1 10.217.25.18 -index 2

Beispiel 4:

Das folgende Beispiel zeigt, wie die angepasste Liste hinzugefügt wird, um bestimmte IP-Adressen als bösartig zu kennzeichnen:

> add policy dataset Block_list1 ipv4

> bind policy dataset Block_list1 10.217.31.48 -index 1

> bind policy dataset Block_list1 10.217.25.19 -index 2

Beispiel 5:

Das folgende Beispiel zeigt einen Richtlinienausdruck, um die Client-IP unter den folgenden Bedingungen zu blockieren:

  • Es stimmt mit einer in der benutzerdefinierten Block_List1 konfigurierten IP-Adresse überein (Beispiel 4)
  • Sie stimmt mit einer in der Webroot-Datenbank aufgelisteten IP-Adresse überein, es sei denn, sie wird durch die Aufnahme in die allow_List1 gelockert (Beispiel 3).
> add appfw policy "Ip_Rep_Policy" "((CLIENT.IP.SRC.IPREP_IS_MALICIOUS || CLIENT.IP.SRC.TYPECAST_TEXT_T.CONTAINS_ANY("Block_list1")) && ! (CLIENT.IP.SRC.TYPECAST_TEXT_T.CONTAINS_ANY("Allow_list1")))" APPFW_BLOCK
<!--NeedCopy-->

Verwenden des Proxyservers:

Wenn die NetScaler ADC-Appliance keinen direkten Zugriff auf das Internet hat und mit einem Proxy verbunden ist, konfigurieren Sie den IP-Reputation-Client so, dass er Anfragen an den Proxy sendet.

Geben Sie in der Befehlszeile Folgendes ein:

set reputation settings –proxyServer <proxy server ip> -proxyPort <proxy server port>

Beispiel:

> set reputation settings proxyServer 10.102.30.112 proxyPort 3128

> set reputation settings –proxyServer testproxy.citrite.net –proxyPort 3128

> unset reputation settings –proxyserver –proxyport

> sh reputation settings

Hinweis:

Die Proxy-Server-IP kann eine IP-Adresse oder ein vollqualifizierter Domänenname (FQDN) sein.

Konfigurieren Sie die IP-Reputation mithilfe der Citrix ADC GUI

  1. Navigieren Sie zu System > Einstellungen. Klicken Sie im Abschnitt Modi und Funktionen auf den Link, um den Bereich Erweiterte Funktionen konfigurieren aufzurufen, und aktivieren Sie das Kontrollkästchen Reputation .
  2. Klicken Sie auf OK.

So konfigurieren Sie einen Proxyserver über die NetScaler ADC GUI

  1. Navigieren Sie auf der Registerkarte Konfiguration zu Sicherheit > Reputation. Klicken Sie unter Einstellungenauf Reputationseinstellungen ändern, um einen Proxyserver zu konfigurieren. Sie können die Reputationsfunktion auch aktivieren oder deaktivieren. Proxyserver kann eine IP-Adresse oder ein vollqualifizierter Domänenname (FQDN) sein. Der Proxy-Port akzeptiert Werte zwischen [1—65535].

Erstellen Sie über die GUI eine Positivliste und eine Sperrliste von Client-IP-Adressen

  1. Navigieren Sie auf der Registerkarte Konfiguration zu AppExpert > Datensätze.
  2. Klicken Sie auf Hinzufügen.
  • Geben Sie im Bereich Datensatz erstellen (oder Datensatz konfigurieren) einen aussagekräftigen Namen für die Liste der IP-Adressen an. Der Name muss den Zweck der Liste widerspiegeln.
  • Wählen Sie Typ als IPv4aus.

  • Klicken Sie auf Einfügen, um einen Eintrag hinzuzufügen.

  • Fügen Sie im Bereich Policy-Dataset-Bindung konfigurieren eine IP-Adresse im IPv4-Format in das Eingabefeld Wert ein.
  • Stellen Sie einen Index bereit.
  • Fügen Sie einen Kommentar hinzu, der den Zweck der Liste erklärt. Dieser Schritt ist optional, wird jedoch empfohlen, da ein beschreibender Kommentar bei der Verwaltung der Liste hilfreich ist.

Auf ähnliche Weise können Sie eine Sperrliste erstellen und die IP-Adressen hinzufügen, die als bösartig angesehen werden sollen.

Weitere Informationen zur Verwendung von Datensätzen und Konfigurieren von Standardsyntaxrichtlinienausdrücken finden Sie unter Mustersätze und Datensätze.

Konfigurieren einer Anwendungs-Firewall-Richtlinie über die NetScaler ADC GUI

  1. Navigieren Sie auf der Registerkarte Konfiguration zu Sicherheit > Anwendungsfirewall > Richtlinien > Firewall. Klicken Sie auf Hinzufügen, um mithilfe des PI-Ausdrucks eine Richtlinie zur Verwendung der IP-Reputation hinzuzufügen.

Sie können auch den Ausdruckseditor verwenden, um Ihren eigenen Richtlinienausdruck zu erstellen. Die Liste zeigt vorkonfigurierte Optionen, die für die Konfiguration eines Ausdrucks mithilfe der Bedrohungskategorien nützlich sind.

Highlights

  • Stoppen Sie schnell und genau schlechten Datenverkehr am Netzwerkrand von bekannten bösartigen IP-Adressen, die verschiedene Arten von Bedrohungen darstellen. Sie können die Anfrage blockieren, ohne den Text zu analysieren.
  • Konfigurieren Sie dynamisch die IP-Reputationsfunktion für mehrere Anwendungen.
  • Schützen Sie Ihr Netzwerk vor Datenlecks ohne Leistungseinbußen und konsolidieren Sie Schutzmaßnahmen mithilfe schneller und einfacher Bereitstellungen auf einer einzigen Service Fabric.
  • Sie können IP-Reputationsprüfungen für Quell- und Ziel-IPs durchführen.
  • Sie können die Header auch überprüfen, um schädliche IPs zu erkennen.
  • Die IP-Reputationsprüfung wird sowohl bei Forward-Proxy- als auch bei Reverse-Proxy-Bereitstellungen unterstützt.
  • Der IP-Reputationsprozess stellt eine Verbindung zu Webroot her und aktualisiert die Datenbank alle 5 Minuten.
  • Jeder Knoten in der High Availability (HA) oder Clusterbereitstellung erhält die Datenbank von Webroot.
  • Die IP-Reputationsdaten werden von allen Partitionen in Admin-Partitions-Bereitstellungen gemeinsam genutzt.
  • Sie können einen AppExpert-Datensatz verwenden, um Listen von IP-Adressen zu erstellen und Ausnahmen für IPs hinzuzufügen, die in der Webroot Datenbank blockiert sind. Sie können auch Ihre eigene angepasste Sperrliste erstellen, um bestimmte IPs als bösartig zu kennzeichnen.
  • Die Datei iprep.db wird im Ordner /var/nslog/iprep erstellt. Nach der Erstellung wird es nicht gelöscht, auch wenn das Feature deaktiviert ist.
  • Wenn die Reputationsfunktion aktiviert ist, wird die NetScaler ADC Webroot Datenbank heruntergeladen. Danach wird es alle 5 Minuten aktualisiert.
  • Die Webroot-Datenbankversion ist 1.
  • Die Nebenversion wird jeden Tag aktualisiert. Die Update-Version wird alle 5 Minuten erhöht und auf 1 zurückgesetzt, wenn die Nebenversion erhöht wird.
  • PI-Ausdrücke ermöglichen es Ihnen, die IP-Reputation mit anderen Funktionen wie Responder und Rewrite zu verwenden.
  • Die IP-Adressen in der Datenbank sind in Dezimalschreibweise.

Tipps zum Debuggen

  • Wenn Sie die Reputationsfunktion in der GUI nicht sehen können, überprüfen Sie, ob Sie über die richtige Lizenz verfügen.
  • Überwachen Sie die Nachrichten in var/log/iprep.log zum Debuggen.
  • Webrootkonnektivität: Wenn die Meldung ns iprep: Not able to connect/resolve WebRoot angezeigt wird, stellen Sie sicher, dass die Appliance über einen Internetzugang verfügt und DNS konfiguriert ist.
  • Proxyserver: Wenn die Meldung ns iprep: iprep_curl_download: 88 curl_easy_perform failed. Error code: 5 Err msg:couldnt resolve proxy name angezeigt wird, stellen Sie sicher, dass die Proxy-Serverkonfiguration korrekt ist.
  • IP-Reputationsfunktion funktioniert nicht: Der IP-Reputationsprozess dauert etwa fünf Minuten, nachdem Sie die Reputationsfunktion aktiviert haben. Die IP-Reputationsfunktion funktioniert möglicherweise für diese Dauer nicht.
  • Datenbankdownload: Wenn der Download von IP-DB-Daten nach dem Aktivieren der IP-Reputationsfunktion fehlschlägt, wird der folgende Fehler in den Protokollen angezeigt.

iprep: iprep_curl_download:86 curl_easy_perform failed. Error code:7 Err msg:Couldn't connect to server

Lösung: Zulassen Sie den ausgehenden Datenverkehr zu den folgenden URLs, oder konfigurieren Sie einen Proxy, um das Problem zu beheben.

localdb-ip-daily.brightcloud.com:443
localdb-ip-rtu.brightcloud.com:443
api.bcti.brightcloud.com:443
localdb-ipv6-daily.brightcloud.com:443
ipce-daily.brightcloud.com:443
ipce-rtu.brightcloud.com:443
<!--NeedCopy-->
IP-Reputation
December 12, 2023
Beitrag von: 
C
December 12, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.