IP-Blacklist, Abuse-Score und Korroboration
Ein IP-Abuse-Score ist eine Zahl, die zusammenfasst, wie stark eine Adresse in Quellen der Bedrohungsaufklärung mit bösartigen Aktivitäten in Verbindung steht, und Korroboration bedeutet, den Score danach zu gewichten, wie viele unabhängige Feeds übereinstimmen. Eine Adresse, die von mehreren unabhängigen Quellen gelistet wird, ist ein deutlich stärkeres Signal als eine, die nur auf einer einzigen, verrauschten Liste auftaucht.
Warum eine einzelne Blacklist nicht reicht
Blacklists werden für unterschiedliche Zwecke gebaut und haben unterschiedliche Fehlerbilder. Eine Liste verfolgt Spam-Versender, eine andere Command-Server von Botnetzen, eine weitere Scanner, die nach offenen Ports suchen. Eine Liste kann empfindlich sein und zu viel markieren oder konservativ und hinterherhinken. Manche Einträge sind veraltet, weil die Adresse nach dem Ende des Missbrauchs einem unschuldigen Kunden neu zugewiesen wurde. Wer auf Basis eines einzelnen Feeds blockiert, erbt dessen blinde Flecken und Fehler. Wer alle ignoriert, übersieht echte Angriffe.
Korroboration ist die Standardantwort: Behandeln Sie jeden Feed als Zeugen und suchen Sie nach Übereinstimmung. Die Begründung ist statistisch. Unabhängige Quellen machen selten denselben Fehler zur selben Adresse zur selben Zeit, daher erhöht Übereinstimmung das Vertrauen, während ein einzelner Eintrag einen niedrigeren Score und eine mildere Reaktion verdient. So lässt sich auch der Punkt zu Land versus Stadt aus der Geolokalisierung auf die Reputation übertragen: Je mehr unabhängige Belege eine Aussage stützen, desto mehr können Sie sich darauf verlassen.
Wie ein IP-Abuse-Score aus Feeds aufgebaut wird
Der IP-Abuse-Checker meldet, wie eine Adresse in mehreren Quellen der Bedrohungsaufklärung eingeschätzt wird, und verdichtet das zu einem Abuse-Score und einer Risikostufe. Im Hintergrund aggregiert ipto öffentliche Feeds, darunter die aggregierte Blockliste IPsum und die Spamhaus-Listen DROP und EDROP. IPsum selbst zählt, wie viele zugrunde liegende Blocklisten eine Adresse erwähnen, und ipto nimmt nur Adressen auf, die auf mindestens dreien davon erscheinen, wobei der Score bei 10 gedeckelt ist. Spamhaus DROP und EDROP sind kuratierte Listen gekaperter oder von Kriminellen kontrollierter Netzbereiche, ihre Einträge erhalten daher den Höchstwert der Skala. Taucht derselbe Bereich in mehr als einem Feed auf, wird der höchste Score behalten.
Scores werden Risikostufen zugeordnet: 8 und darüber ist kritisch, 5 bis 7 hoch, alles darunter mittel. Das Ergebnis zeigt außerdem das Netz, zu dem die Adresse gehört, was wichtig ist, weil Missbrauch sich oft in einem Bereich oder bei einem Betreiber konzentriert und nicht bei einem einzelnen Host. Die Seite missbräuchliche Netze listet die auffälligsten Bereiche, und die Seite Threat Feeds zeigt die aktuellen VPN-, Tor- und Hochrisikolisten, die alle 6 Stunden aktualisiert werden. In der Lookup-API enthält das Ergebnis is_abuser neben is_vpn, is_tor und is_datacenter.
Was der Score nicht ist
Dies ist ein Reputations-Score und keine DNS-Blocklist-Abfrage für Mailserver, und er sollte bei der Diagnose der E-Mail-Zustellung an einen bestimmten empfangenden Anbieter keine solche ersetzen. Er kann auch kein Verhalten sehen, das kein Feed erfasst hat: Ein frisch kompromittierter Host ohne Vorgeschichte bekommt einen sauberen Score. Und geteilte oder neu zugewiesene Adressen können die Reputation eines früheren Nutzers tragen. Carrier-Grade NAT verschärft das Problem, da eine Mobilfunkadresse viele nicht verwandte Menschen bedienen kann. ipto erkennt keine Residential-Proxy-Netze, Traffic über gewöhnliche Heimanschlüsse wird von diesen Feeds also nicht markiert.
Widerspruch zwischen Feeds lesen
Korroboration ist bei Widerspruch der Feeds ebenso nützlich wie bei Übereinstimmung. Steht ein Bereich in einer kuratierten Hijack-Liste, aber niemand sonst erwähnt einzelne Hosts darin, handelt es sich wahrscheinlich um ein Betreiberproblem und nicht um einen kompromittierten Kundenrechner, und den Bereich zu sperren kann richtig sein, obwohl kein einzelner Host eine Vorgeschichte hat. Erscheint ein Host in einer aggregierten Liste mit niedriger Zählung und sonst nirgends, kann es eine kurzlebige Infektion sein, die bereits bereinigt wurde. Wenn der Quell-Feed bei jedem Score sichtbar bleibt, wie in der Liste missbräuchlicher Netze, kann ein Analyst nachvollziehen, warum ein Urteil zustande kam, statt einer bloßen Zahl zu vertrauen.
Auf einen Score reagieren
Passen Sie die Reaktion an das Vertrauen an. Bei einem kritischen Score aus einem Datacenter-Bereich, der Ihren Login-Endpunkt trifft, ist Blockieren oder eine harte Challenge vertretbar. Bei einem mittleren Score fügen Sie Reibung hinzu, statt abzulehnen: ein CAPTCHA, eine E-Mail-Bestätigung oder ein niedrigeres Rate Limit. Bei keinem Score tun Sie nichts Besonderes, behandeln das aber nicht als Unbedenklichkeitsbescheinigung. Halten Sie den Score bei jeder Entscheidung fest, damit Sie Fehlalarme prüfen und Schwellenwerte justieren können.
Kombinieren Sie Reputation mit anderen Signalen, bevor Sie eskalieren. Der Fraud-Score-Checker führt IP-Reputation, Erkennung von Wegwerf-E-Mails, Telefonvalidierung und User-Agent-Klassifizierung zu einem einzigen Wert von 0 bis 100 zusammen und zeigt, wie viel jedes Signal beigetragen hat. So bleibt das Ergebnis erklärbar, was wichtig ist, wenn ein legitimer Kunde fragt, warum er geprüft wurde. Zu den damit verbundenen Abwägungen bei kostenlosen Feeds siehe VPN-Erkennungsmethoden im Vergleich, und die Antwortfelder finden Sie in der API-Dokumentation. Ein kostenloser Schlüssel erlaubt 1.000 Anfragen pro Tag ohne Anmeldung.