让网维变得简单,快速,准确。拒绝浪费时间,解放出更多的时间陪陪家人。 注册 | 登陆

新建高风险IP库项目(公测)

 
目前互联网上充斥着大量非法链接。其中比较常见有SSH,TELNET,RDP,WINBOX,WEB密码撞库,还有DNS,NTP,MEMCACHE,SSDP等反射放大攻击。
但是在很多时候企业又不得不开放以上这些服务,于是只能以开放服务的前提下进行安全防护。
本站采用多节点,多地域大数据日志,经过合理的筛选算法将可疑的高风险IP提取出来。
使用本站提供的高风险IP库可有效提高企业网络安全。可对端口扫描,密码撞库,UDP反射攻击等高风险IP行为进行阻断。如果布置在核心出口可以进行全网防护。
由于不法分子可能随时更换IP,IP库虽然会定期更新,但是依然处于被动防御的状态,无法做到100%识别阻断。本项目仅适合作为安全辅助手段,不建议作为唯一安全手段。
由于筛选算法原因,可能出现极端情况下的误判概率,请做好后备方案。本方案会消耗大量CPU,请确保设备性能足够支撑再进行布置。

更新时间: 2021/09/29
更新内容:新增IP白名单模块,防止在某些特殊环境下造成的误判。当前已将主流DNS及本站关联产品IP加入白名单列表。(修复了Telegram通知接口国内节点被误判导致接口调用失败的BUG。)

更新时间: 2021/04/19
更新内容:新增mikrotik脚本变量,允许用户自定义选择加载地址列表至FLASH或者RAM,让只有16M FLASH的设备也能用上这个策略。(具体用法参考脚本例子。

更新时间: 2021/03/15
更新内容:新增linux下的ipset模式,在大量黑名单IP时可以显著提高防火墙运行效率。已提供ipset自动更新脚本及使用注意事项。

更新时间: 2021/02/19
更新内容:调整筛选算法,减少误判概率。
 
更新时间: 2021/01/26
更新内容:调整筛选算法,减少误判概率。

更新时间: 2021/01/20
更新内容:新增自动更新脚本,包含mikrotik系统和linux系统,均可以实现定时自动更新高危IP库。
 
更新时间: 2021/01/15
更新内容:增加IP活跃期判断,90天内不活跃的IP将从高风险IP剔除。毕竟要给别人改过自新的机会对不?:D
 
更新时间: 2021/01/12
更新内容:更新识别算法,扩大识别范围。增加高风险IP子网计数器,可以统计22-32之间子网的数量。

更新时间: 2021/01/06
更新内容: linux版本从iptables命令改为iptables-restore导入文件,提高安全性和执行效率。如果某个C段的高风险IP数量超过40个,则会屏蔽整个C段IP。

高风险IP库将每天自动更新到OSS一次,大家可以做脚本每天自动更新,也可以手动下载更新。

mikrotik导入例子/imp scaners.rsc

linux(纯iptables模式)导入例子 iptables-restore < scaners.bak

linux(ipset模式)导入例子 ipset restore -f < scaners.bak
ipset模式使用提醒
1.需要安装好ipset程序(apt-get install ipset)
2.新建好scaners地址表(ipset -N scaners iphash)
3.设置iptables调用(iptables -A INPUT -m set --match-set scaners src -j DROP)

mikrotik自动导入脚本(可利用scheduler设置定时一天执行一次)需要导入CA证书,CA证书文件见附件
  1. :do [/tool fetch url="https://cache-1.oss-cn-beijing.aliyuncs.com/file/scaners.rsc" dst-path=scaners.rsc check-certificate=yes]
  2. :delay 10s
  3. :if ([/file find name="scaners.rsc"] != ""do={
  4. /ip firewall address-list remove [find list="scaners"]
  5. ###若需要加载到FLASH则注释掉下行代码,若需要加载到RAM则反之。###
  6. #:global ipt 30d
  7. :delay 2s
  8. /imp scaners.rsc
  9. :delay 5s
  10. /file remove [find name="scaners.rsc"]
  11. :log warning "扫描者黑名单更新完成"}
linux自动导入脚本(可利用crontab设置定时一天执行一次)(纯iptables模式专用)
  1. #!/bin/sh  
  2. PATH=$PATH:/sbin:/bin:/usr/sbin:/usr/bin  
  3. wget -q -O /root/upfw.bak https://cache-1.oss-cn-beijing.aliyuncs.com/file/scaners.bak  
  4. sleep 10s  
  5. iptables -F  
  6. sleep 5s  
  7. iptables-restore </root/upfw.bak  
  8. sleep 5s  
  9. rm /root/upfw.bak  
linux自动导入脚本(可利用crontab设置定时一天执行一次)(IPSET模式专用)
  1. #!/bin/sh
  2. PATH=$PATH:/sbin:/bin:/usr/sbin:/usr/bin
  3. wget -q -O /root/upipset.bak https://cache-1.oss-cn-beijing.aliyuncs.com/file/scaners2.bak
  4. sleep 10s
  5. ipset flush scaners
  6. sleep 5s
  7. ipset restore -f /root/upipset.bak
  8. sleep 5s
  9. rm /root/upipset.bak


mikrotik设备(import导入):https://cache-1.oss-cn-beijing.aliyuncs.com/file/scaners.rsc

linux设备(iptables-restore导入):https://cache-1.oss-cn-beijing.aliyuncs.com/file/scaners.bak

linux设备(ipset导入):https://cache-1.oss-cn-beijing.aliyuncs.com/file/scaners2.bak

附件: oss-cn-beijing-aliyuncs-com.pem (1.25 K, 下载次数:172)

Tags: ip, 高风险, 扫描, 字典, 破解

« 上一篇 | 下一篇 »

 

7条记录访客评论

引用 xxhhlk 说过的话:
你好 请问跟 https://iplists.firehol.org/ 相比 区别在什么地方呢?
分析方式不同,数据来源不同。本站的数据全部来自于自己维护的节点采集到的数据分析,并非来自于其他网站采集。

Post by 熊茂祥 on 2023, December 1, 9:42 AM 引用此文发表评论 #1

你好 请问跟 https://iplists.firehol.org/ 相比 区别在什么地方呢?

Post by xxhhlk on 2023, November 5, 5:26 PM 引用此文发表评论 #2

不错,在使用了。至少可以减少黑客攻击,减少中勒索的风险。感谢大佬。

Post by IBM on 2022, July 29, 9:48 AM 引用此文发表评论 #3

引用 admin 说过的话:
感谢大佬,请把1.1.1.1从表单中移除,还需要用到这个dns呢
已经安排,感谢反馈。

Post by 熊茂祥 on 2022, January 1, 7:02 PM 引用此文发表评论 #4

感谢大佬,请把1.1.1.1从表单中移除,还需要用到这个dns呢

Post by admin on 2021, December 29, 9:58 AM 引用此文发表评论 #5

感谢大佬分享

Post by 霍普离斯 on 2021, November 10, 11:04 AM 引用此文发表评论 #6

用了几天,发现太耗CPU了。

Post by 偶然 on 2021, October 21, 10:32 PM 引用此文发表评论 #7


发表评论

评论内容 (必填):