Блек лісти для роутеру

[NST1983]

Колеги, підкажіть, будь ласка, чи є зараз в Україні актуальні публічні blacklist-и, які можна використовувати безпосередньо на роутерах/firewall?

Цікавлять саме списки IP/підмереж або machine-readable feed типу TXT/JSON/API, які можна автоматично підтягувати в MikroTik/pfSense/OPNsense. Не просто DNS-фільтрація.

Шукав у відкритих джерелах:
- старий UA Blacklist / uablacklist.net — сервіс уже припинив роботу;
- у CERT-UA є IOC у матеріалах по окремих атаках, але єдиного актуального публічного feed/API з IP/domain blacklist не знайшов;
- у НЦУ/Держспецзв’язку та НКЕК є окремі рішення і списки на блокування, але вони часто публікуються у вигляді сторінок/PDF, а не готового автоматично оновлюваного feed.

Може, хтось використовує актуальний український список або знає офіційне/неофіційне джерело, яке регулярно оновлюється?

Особливо цікаво:
- IP blacklist;
- subnet blacklist;
- domain blacklist;
- готовий TXT/JSON/API;
- бажано з можливістю автоматичного імпорту в MikroTik.

Буду вдячний за посилання і реальний досвід використання.

[Shpoker]

NST1983
эмм, а чтобы что? (страны блокирую через парсинг https://www.ipdeny.com/ipblocks/ (там оно прямо просится аггрегировать), ASки - паршу bgp, но вот чтобы требовалось просто заблокировать какой-то айпи всемирно - ну не могу придумать причину)

[NST1983]

Цього мало.
Наприклад, НЦУ/Держспецзв’язку періодично публікує розпорядження, де прямо в додатках до PDF є конкретні IP-адреси, які потрібно блокувати. Окремо НКЕК, санкційні рішення, списки заборонених ресурсів тощо і там теж регулярно з’являються домени/ресурси.

[Shpoker]

НЦУ/Держспецзв’язку періодично публікує розпорядження, де прямо в додатках до PDF є конкретні IP-адреси, які потрібно блокувати

Ну так пусть они и блокируют, или ты личный гулаг у себя дома решил устроить?

П.с.: конституція України, стаття 15

[username_1]

ты личный гулаг у себя дома решил устроить?

Не мешайте человеку ограничивать себя.

Инструкция:

спойлер

Сделать секретный «Шлем Отечества» из фольги можно за пару минут с помощью одного рулона алюминиевой фольги.

Материалы
• Рулон пищевой алюминиевой фольги (желательно плотной).
• Скотч (для особо секретных узлов).

Пошаговая инструкция
1. Подготовка базы: Отрежьте лист фольги размером примерно 70×70 см. Размер имеет значение: мысли бывают разные, объемные.
2. Первичная калибровка: Аккуратно накройте полученным листом голову. Руками аккуратно разглаживайте фольгу сверху вниз, формируя рельеф черепа и будущий космический обтекаемый профиль.
3. Аэродинамика и защита: Сделайте легкий залом на макушке в виде антенны для лучшей синхронизации со спутниками (или, наоборот, для их глушения).
4. Технические отверстия: При необходимости сформируйте вырезы для глаз, носа и ушей, хотя через один слой фольги истинное знание должно поступать напрямую в мозг минуя органы чувств.
5. Фиксация: Закрепите конструкцию снизу с помощью полоски скотча или подогните края, чтобы шлем не слетел во время резких поворотов головы от внезапных озарений.

[NST1983]

До чого тут взагалі "дома" і "ограничивать себя"? Я ніде не писав про домашню мережу чи бажання влаштовувати комусь цензуру.

Пішіть або по темі, або флудіть в іншому місці

Відправлено через 46 хвилин 19 секунд:
У таких списках можуть бути фішингові ресурси, шкідливі IP, C2, шахрайські сайти, нелегальні казино та інші ресурси, які блокуються з цілком практичних причин.

Відправлено через 44 секунди:
То шщо ви баните рос IP https://www.ipdeny.com/ipblocks/ виглядає максимально смішно і крінжово

[username_1]

У таких списках можуть бути фішингові ресурси, шкідливі IP, C2, шахрайські сайти, нелегальні казино та інші ресурси, які блокуються з цілком практичних причин.

Просто не ходите туда и не ищите эти сайты.

Браузеры, блокировщики рекламы, антивирусы и т д давно уже выдают предупреждение при попытке перейти на подозрительные сайты.

[NST1983]

У таких списках можуть бути фішингові ресурси, шкідливі IP, C2, шахрайські сайти, нелегальні казино та інші ресурси, які блокуються з цілком практичних причин.

Просто не ходите туда и не ищите эти сайты.

Браузеры, блокировщики рекламы, антивирусы и т д давно уже выдают предупреждение при попытке перейти на подозрительные сайты.

1. Нормальна людина з контексту вже зрозуміла б, що мова не про домашній інтернет. У корпоративній мережі правило просто не заходьте на такі сайти не працює.

2. Як виявляється - попадаються якраз такі крикуни, які думають що вони дуже розумні і знають куди ходять, а потім усп .

3. Шахрайські схеми давно не обмежуються сайтами, які одразу виглядають підозріло. Роблять якісні копії банків, пошти, Microsoft 365, сервісів доставки, держресурсів тощо. Дуже багато випадків, коли сайт виглядає цілком нормально, але користувач все одно потрапляє на шахраїв. Тим більше що такі схеми постійно вдосконалюються.

Blacklist на рівні DNS або firewall - це просто ще один шар захисту. Браузер, блокувальник реклами чи антивірус окремо 100% захисту не дають.

[Shpoker]

Відправлено через 44 секунди:
То шщо ви баните рос IP https://www.ipdeny.com/ipblocks/ виглядає максимально смішно і крінжово

Шо ты несешь, username_1 с шапочкой - прав на 100%.
Я баню страны пачками НА ВХОД на определенные внешние ресурсы под моим управлением, на которые я не ожидаю валидного трафа из этих стран, а траф ботов-хаккеров меня не интересует абсолютно. (К примеру доступ к сервису из сомали/ирана/китая и тд, где точно нет ни одного ЧЕЛОВЕКА, которому этот сервис нужен, но есть взломанные впски, которые втупую пробуют все существующие эксплойты на твоём сервисе с бесконечного ряда айпи, по одному айпи на запрос (любой другой вид блокировки не работает))
ASки НА ВХОД в бан идут, когда они либо полные неуправляйки с тем что нарушает мои лог-файлы, либо их абюз тима не исполняет своих обязанностей.

Отправлено спустя 2 минуты 11 секунд:

У корпоративній мережі правило просто не заходьте на такі сайти не працює.

А, так тебе за это платят. Ну так работай))

[NST1983]

Відправлено через 44 секунди:
То шщо ви баните рос IP https://www.ipdeny.com/ipblocks/ виглядає максимально смішно і крінжово

Шо ты несешь, username_1 с шапочкой - прав на 100%.
Я баню страны пачками НА ВХОД на определенные внешние ресурсы под моим управлением, на которые я не ожидаю валидного трафа из этих стран, а траф ботов-хаккеров меня не интересует абсолютно. (К примеру доступ к сервису из сомали/ирана/китая и тд, где точно нет ни одного ЧЕЛОВЕКА, которому этот сервис нужен, но есть взломанные впски, которые втупую пробуют все существующие эксплойты на твоём сервисе с бесконечного ряда айпи, по одному айпи на запрос (любой другой вид блокировки не работает))
ASки НА ВХОД в бан идут, когда они либо полные неуправляйки с тем что нарушает мои лог-файлы, либо их абюз тима не исполняет своих обязанностей.

Так у тому й справа, що ти описав лише один конкретний сценарій, фільтрацію вхідного трафіку по GeoIP та AS.

Blacklist-и цим взагалі не обмежуються. Є блокування вихідних з'єднань до відомих C2, ботнетів, фішингових і шахрайських ресурсів, шкідливих IP, DNS-серверів, нелегальних казино та інших ресурсів. І тут заблокувати всю країну чи AS часто неможливо, бо конкретний ресурс може сидіти на VPS або CDN у цілком нормальній мережі разом із тисячами легітимних сайтів.

Саме тому я й шукаю актуальні списки конкретних IP, підмереж і доменів, а не спосіб заблокувати країну. GeoIP та BGP цю задачу не вирішують.

Тобі би кудись піти для початку повчитись, чи повзросліти для таких тем?

Відправлено через 1 хвилину 11 секунд:

А, так тебе за это платят. Ну так работай))

Яке це має відношення до даної теми?

[username_1]

Є блокування вихідних з'єднань до відомих C2, ботнетів, фішингових і шахрайських ресурсів, шкідливих IP, DNS-серверів, нелегальних казино та інших ресурсів.

И все они за день создают сотни или тысячи новых сайтов на новых доменах и поддоменах и т д, которых, вероятно, не будет в списках, пока кто-то не пострадает, не подаст заявки в списки, пройдут все проверки и т д. А в опасных письмах часто ссылка на какой-то документ в гугл облаке и т д, которые вы не забаните.

И любой желающий может обойти блокировки на роутере через VPN, Tor и прочим софтом.

Лучше уже создавать политики безопасности и заставлять пользователей корпоративной сети изучать их и сдавать автоматические тесты.

Shpoker
Я думаю, что это все придумано в плане причин. Ведь начиналось все в 1 сообщение с этого:

- у НЦУ/Держспецзв’язку та НКЕК є окремі рішення і списки на блокування, але вони часто публікуються у вигляді сторінок/PDF, а не готового автоматично оновлюваного feed.

Може, хтось використовує актуальний український список або знає офіційне/неофіційне джерело, яке регулярно оновлюється?

/картинка с шапочкой из фольги/

Тобі би кудись піти для початку повчитись, чи повзросліти для таких тем?

Взрослые не жалуются на

але вони часто публікуються у вигляді сторінок/PDF, а не готового автоматично оновлюваного feed.

А парсят страницу или PDF и создают нужный формат текстового документа. Код может написать и чатбот.

спойлер

[NST1983]

username_1
Дебілоїд, ти знову описуєш це так, ніби адміністратор просто поставив одне правило в firewall і на цьому все закінчилося.

У нормально налаштованій корпоративній мережі користувач не повинен мати можливості просто взяти й обійти політики через перший-ліпший VPN або Tor. Відомі Tor relay та exit node можна блокувати по address-list, типові VPN-протоколи і порти теж можна різати, доступ назовні можна обмежувати політиками firewall, а DNS-запити користувачів примусово перенаправляти на корпоративний DNS.

Окремо блокуються DoT, відомі DoH-сервіси, QUIC за потреби, а вихідний трафік можна дозволяти тільки за визначеними правилами. Тобто схема не така, що юзер поставив VPN з магазину застосунків і автоматично переміг адміністратора мережі.

Звичайно, абсолютної гарантії немає. VPN можна маскувати під HTTPS, використовувати нестандартні сервери, obfuscation та інші способи обходу. Tor теж має bridges і pluggable transports. Але це вже зовсім інша задача, ніж твоє будь-хто за дві хвилини все обійде.

DNS redirect сам по собі теж не магія: він закриває звичайний DNS на 53 порту, а DoH/DoT треба контролювати окремо. Але в комплексі firewall, DNS policy, блокування відомих VPN/Tor endpoint, контроль вихідного трафіку і моніторинг цілком дозволяють дуже суттєво обмежити такі обходи.

І взагалі сама можливість теоретично обійти захист не робить цей захист безглуздим. За такою логікою можна не ставити ні firewall, ні антивірус, ні MFA, бо все це теж за певних умов можна обійти.

[username_1]

username_1
Дебілоїд,

Я не являюсь таким. Не нужно меня приравнивать к вам.

Тобто схема не така, що юзер поставив VPN з магазину застосунків

его не нужно даже устанавливать. В 21 веке часть работают портативно или как расширения браузера. В том же Firefox уже есть встроенный VPN.

ніж твоє будь-хто за дві хвилини все обійде.

Я не писал такое. Это ваша брехня.

[Alister]

Я також свого часу шукав такі листи, але для діаметральної задачі, щоб мати повний доступ до Інтернету.
Я навпаки робив split-horizon routing. Тобто, умовно, розділяв трафік на 2 частини. Той, що не заблокований оператором - йшов повз VPN, а той що заблокований - через VPN.

[NST1983]

О, якщо це розширення браузера, то правила на роутері вже не діють?

Я це вже налаштовував на pfSense/OPNsense: обмеження портів плюс DNS-фільтрація з готовими загальнодоступними блеклістами, зокрема HaGeZi DoH/VPN/TOR/Proxy Bypass. Не ручний перебір VPN-серверів і не заборона встановлювати розширення.

У мене перевірені VPN-розширення запускалися, але підключення не встановлювали. Тому розповідь про те, що їх навіть встановлювати не потрібно, нічого не змінює. Запустити розширення і встановити через нього з’єднання - різні речі.

У мене тільки одне питання - якщо ви не розумієте навіщо це потрібно і кому, то взагалі навіщо тут пишете?

Відправлено через 2 хвилини 17 секунд:

Я також свого часу шукав такі листи, але для діаметральної задачі, щоб мати повний доступ до Інтернету.
Я навпаки робив split-horizon routing. Тобто, умовно, розділяв трафік на 2 частини. Той, що не заблокований оператором - йшов повз VPN, а той що заблокований - через VPN.

О, це вже якраз по темі. А звідки ти брав сам список заблокованих ресурсів? Він був десь у готовому вигляді та автоматично оновлювався чи ти його сам збирав?

[username_1]

О, якщо це розширення браузера, то правила на роутері вже не діють?

Это лишь 1 из вариантов. И можно скрыть трафик за тем же шифрованием под обычный трафик.

якщо ви не розумієте навіщо це потрібно і кому, то взагалі навіщо тут пишете?

Я думаю, что специалисты точно не будут искать и брать список ресурсов для блокировки на:

- старий UA Blacklist / uablacklist.net — сервіс уже припинив роботу;
- у CERT-UA є IOC у матеріалах по окремих атаках, але єдиного актуального публічного feed/API з IP/domain blacklist не знайшов;
- у НЦУ/Держспецзв’язку та НКЕК є окремі рішення і списки на блокування, але вони часто публікуються у вигляді сторінок/PDF, а не готового автоматично оновлюваного feed.

и зададут такие вопросы только в умной формулировке на специальных форумах сетевиков и админов. Если фишинговое письмо дошло до пользователя через корпоративный почтовый сервер, то это уже косяк администратора этого сервера компании.

[Alister]

Він був десь у готовому вигляді та автоматично оновлювався чи ти його сам збирав?

Сам збирав. Ті підмережі, що були на uablacklist.net - вони сильно неактуальні були навіть на момент їх публікації. Але так як я працював NOC інженером в одному операторі, то в мене були номери ASN, які треба заблокувати(в основному це кацапські ресурси). То я просто через bgpq3 додавав всі AS-SET заблокованих операторів + префікси всіх найбільших CDN/операторів самої кацапії у свій список.
Ну шоб ти розумів величину списка, то ось покажу

спойлер

Наперед дам відповідь для дуже допитливих чому я так робив.
Доступ до Інтернету має бути в повному обсязі. Не державі вирішувати до чого я маю мати доступ, а до чого ні.
+ Все діло у всяких рефералах, каунтерах на сайтах, схованих переходах/посиланнях, які можуть тормозити завантаження цільового сайта на хвилини, навіть якщо сайт цілком не кацапський.

[NST1983]

Не державі вирішувати до чого я маю мати доступ, а до чого ні.

Тут я згоден. Це має регулюватися внутрішніми політиками безпеки. Але самі списки також цікаві, оскільки в них є багато корисного для фільтрації.

І взагалі трохи дивно, що в умовах війни такі списки досі публікуються окремими рішеннями та постановами, часто у пдф , які потім ще треба вручну збирати й парсити, замість нормального централізованого типа щось TXT/JSON/API.

[Alister]

І взагалі трохи дивно, що в умовах війни такі списки досі публікуються окремими рішеннями та постановами, часто у пдф , які потім ще треба вручну збирати й парсити, замість нормального централізованого типа щось TXT/JSON/API.

Кругоє носіть, квадратноє катать)

Потрібні тобі механізми надають maxmind та geo2ip(не за безкоштовно). Але там просто списки ІР адрес по країнам, а не блеклисти.
Якщо, умовно, забанити всю кацапію, то geo2ip - цілком варіант, там всі інструменти для автоматизації є.
Але в тебе трошки комплексніший запит

[Shpoker]

Ну шоб ти розумів величину списка, то ось покажу

спойлер

https://man.cx/aggregate(8) - базарю, топовая штука.