Abusive Networks: Bewertung und Risikostufen
Missbräuchliche Netzwerke (Abusive Networks) sind Blöcke des IP-Adressraums, meist als CIDR-Ranges angegeben, die unabhängige Threat-Intelligence-Quellen als Infrastruktur für Spam, Malware, Botnets oder Exploits markieren. ipto ordnet sie danach, wie stark sich diese Quellen einig sind. Statt einer flachen Sperrliste erhält jede Range einen Score von 1 bis 10 und eine Risikostufe, damit Sie entscheiden können, wie konsequent Sie darauf reagieren.
Was als missbräuchliches Netzwerk gilt
Eine einzelne auffällige Adresse ist ein Vorfall. Eine ganze Range, die immer wieder in Threat-Feeds auftaucht, ist ein Muster, und dieses Muster ist für Verteidiger meist nützlicher als jede einzelne Adresse, weil Angreifer Adressen schneller wechseln, als Feeds sie listen können. Die Seite zu missbräuchlichen Netzwerken erfasst deshalb Ranges statt Hosts. Ein Eintrag wie ein /24 bedeutet, dass alle 256 Adressen dieses Subnetzes betroffen sind: Der Block ist feindlicher Infrastruktur zugewiesen oder wird aktiv von ihr genutzt, und es handelt sich nicht nur um einen einzelnen markierten Host in einer ansonsten sauberen Zuteilung.
Die Daten werden in einem Sechs-Stunden-Zyklus aus öffentlichen Quellen neu aufgebaut, im selben Takt wie die übrigen Threat-Feeds. Die Ranges stammen derzeit aus drei Eingaben: der aggregierten Bedrohungsliste IPsum sowie Spamhaus DROP und Spamhaus EDROP. Jede davon ist selbst eine Kombination weiterer Signale, weshalb ipto die Übereinstimmung zwischen ihnen als das eigentlich bewertenswerte Merkmal behandelt. Die Seite lässt sich nach Subnetz durchsuchen, nach Stufe oder Quell-Feed filtern und in Schritten von 200 Einträgen durchblättern. Dieselben Daten gibt es als JSON unter /v1/abuse mit den Query-Parametern tier, source, q und page.
Wie Scores und Stufen vergeben werden
Die Bewertung ist bewusst leicht nachvollziehbar. IPsum veröffentlicht für jede Adresse die Zahl der unabhängigen Blocklisten, die sie enthalten. ipto behält nur Adressen, die auf mindestens 3 Listen stehen, und der Score entspricht dieser Zahl, gedeckelt bei 10. Einträge aus Spamhaus DROP beginnen bei 10, weil sie gekaperten oder von kriminellen Betreibern geführten Adressraum abdecken, EDROP-Einträge beginnen bei 9. Taucht dieselbe Range in mehreren Quellen auf, gilt der höchste Score, sodass eine Spamhaus-Listung für diese Range stets einen IPsum-Wert übertrifft.
Die Stufe ergibt sich direkt aus dem Score:
- Critical (8 bis 10): die Gruppe mit der höchsten Sicherheit. Typischerweise Blöcke, die von Betreibern krimineller Infrastruktur geführt werden, oder gekaperter Adressraum, der aktiv missbraucht wird, wobei Spam, Malware-Verbreitung oder Credential Harvesting zu erwarten sind.
- High (5 bis 7): in mehreren Feeds als feindlich markiert, ohne zwingend organisierte kriminelle Infrastruktur zu sein. Hierher gehören Kunden von Bulletproof-Hostern und spamfreundliche ISPs.
- Medium (3 bis 4): von mehreren Feeds markiert, aber mit geringerer Bestätigung. Hier finden sich tendenziell Shared-Hosting-Umgebungen und Blöcke mit früherem Missbrauch, die inzwischen den Besitzer gewechselt haben können.
Nutzen Sie die Stufe für grobe Richtlinien und den Rohscore, wenn Sie eine lange Liste ordnen müssen. Da der Score bei 10 gedeckelt ist, kann eine Range nicht dadurch kritischer werden, dass sie auf noch einer weiteren Liste erscheint. Das hält die Skala über die Zeit stabil.
Sperren auf Range-Ebene oder für einzelne IPs
Prüfungen einzelner Adressen beantworten eine enge Frage: Ist genau diese IP gerade markiert? Der IP-Abuse-Checker und das Feld abuse_score der IP-Abfrage tun das auf Basis derselben Ranges, und der Score reist mit der Range mit, sodass keine zweite Abfrage nötig ist. Range-Daten beantworten eine andere Frage: Sollte irgendetwas aus dieser Gegend des Internets als vertrauenswürdig gelten?
Eine sinnvolle Abstufung der Richtlinien sieht so aus:
- Critical-Ranges: am Perimeter verwerfen oder SMTP-Verbindungen vor der Inhaltsanalyse abweisen, da keine Bewertung auf Nachrichtenebene einen Absender in einem feindlichen Block rehabilitiert.
- High-Ranges: strenge Rate Limits oder ein CAPTCHA für Login- und API-Traffic anwenden, wo Credential Stuffing und Scraping-Tools üblicherweise arbeiten.
- Medium-Ranges: protokollieren und die Verifizierung verschärfen, statt sofort zu blockieren.
- Jede Stufe: Löst ein SIEM-Alarm für eine Adresse in einer Critical-Range aus, eskalieren Sie ihn automatisch, weil der Kontext die Priorität verändert.
Kombinieren Sie das Range-Signal mit Netzwerkkontext aus der ASN-Abfrage. Gehören drei markierte Ranges demselben autonomen System, kann die Entscheidung auf ASN-Ebene fallen, und die Abfrage zeigt Inhaber, Land und announcete Ranges.
Vorbehalte bei geteilten Netzwerken
Range-Sperren haben Kollateralkosten. Eine Shared-Hosting- oder Cloud-Zuteilung kann einen missbräuchlichen Mieter und Hunderte legitime enthalten, und eine Sperre für das gesamte Präfix trifft alle. Deshalb verdienen Medium-Einträge eine Prüfung, bevor eine pauschale Richtlinie greift, besonders bei Diensten für Endkunden, wo eine Überblockierung einen verlorenen Kunden bedeutet. Ranges wechseln außerdem den Besitzer: Ein wegen alten Missbrauchs gelisteter Block kann inzwischen einem unbedenklichen Inhaber gehören, und die Aktualisierung im Sechs-Stunden-Takt wirkt nur so schnell, wie die Upstream-Feeds sich ändern.
Eine weitere Grenze ist die Abdeckung. Die Ranges sind IPv4-CIDR-Blöcke und Einzeladressen aus den drei genannten Quellen. Sie decken nicht jedes feindliche Netzwerk ab, und ein sauberes Ergebnis ist keine Garantie für Vertrauenswürdigkeit. ipto erkennt außerdem keine Residential Proxys, daher erscheint Traffic, der über Heimanschlüsse weitergeleitet wird, hier nicht. Betrachten Sie die Stufe als eine Eingabe neben den VPN-, Tor- und Datacenter-Flags, die Sie auf der Seite Threat Feeds durchsuchen können. Hintergründe dazu, warum die Übereinstimmung zwischen Quellen wichtig ist, finden Sie im Beitrag zur Bestätigung von Blacklists.
Ausprobieren mit ipto
Öffnen Sie die Seite zu missbräuchlichen Netzwerken und filtern Sie nach Critical, um die schlimmsten Ranges zu sehen, oder suchen Sie nach einem Präfix, den Sie bereits im Verdacht haben. Aus Code rufen Sie GET /v1/abuse?tier=critical&page=0 auf und cachen die Antwort, die mit fünf Minuten Cache-Lebensdauer ausgeliefert wird. Abfragen einzelner Adressen mit abuse_score und is_abuser sind kostenlos und ohne Registrierung bis zu 1.000 Anfragen pro Tag möglich.