술이 11-07

pfsense 쓰세요 그거면 전부 해결되요. 최신본 그거 의미 없어요.

dateno1 11-07

제경우 직접 수집해서 씁니다

공격 들어오거나 이상한짓 하면 다 로그에 남게 만든후 로그에서 주소 추출해서 그걸 막아버립니다

이외에 안렙등 각종 백신이라던가 보안 리포트에 나오는 주소들도 추가합니다

HEUo김용민 11-08

최근에는 AWS. GCP, Azure의 클라우드 IP를 통한 공격량이 커져서 Block IP 자료만 받아서는 무쓸모입니다;

제가 운영하는 차단 단계는 인바운드/아웃바운드 모두 최상단에 아래 우선순위로 차단을 걸어놓고 있습니다.

1단계 IPS 방화벽 제조사 Threat Intelligence에 등록된 공격형 IP 평판 정보 리스트 차단
2단계 공개형 Feed 기반 Abuse IP 차단
3단계 IPS 방화벽 탐지 시그니처 기반 IP 차단

이렇게 걸어놔도 직접 관리하는
IPS 방화벽 50대에 3단계 IP 등록시키는 양이 1주일에 20개는 넘어요.

여튼 요청하신 자료는 2단계 외부 Feed 수신 방식의 자료인데 몇가지 URL 알려드릴터이니...
직접 수신받아서 활용해 보시기 바랍니다.

Feed #1 : 무가입 URL txt 수신 방식 ( 갱신주기는 해당 사이트에 접근해 정보 취합하시기 바랍니다.)
https://secureupdates.checkpoint.com/IP-list/TOR.txt
https://snort.org/downloads/ip-block-list
https://rules.emergingthreats.net/blockrules/compromised-ips.txt
https://rules.emergingthreats.net/fwrules/emerging-Block-IPs.txt
https://feodotracker.abuse.ch/downloads/ipblocklist_recommended.txt
https://sslbl.abuse.ch/blacklist/sslipblacklist.txt


Feed #2 : 회원 가입 API Key 방식 (무료  계정 일5회 수신 가능)
https://www.abuseipdb.com/

curl -G https://api.abuseipdb.com/api/v2/blacklist \
  -d confidenceMinimum=90 \
  -H "Key: $YOUR_API_KEY" \
  -H "Accept: text/plain"

extra 11-08

좋은 조언 감사합니다.
제가 능력이 있으면 pfsense 을 쓰는데 능력이 부족하여 선재적으로라도 이미 알려진 ip라도 차단하려고 했습니다.
pfsense 를 여러 서버로 구성되어있었다면 시도를 해보겠지만 하나의 시스템(하나의 서버)에 구성하고 내부적으로 사설망을 구성하기엔 현재 제 능력으로는 힘들어서요.
다른 보안 리포트도 참고해보겠습니다.