In Citrix ADC 13.1
In Citrix ADC
In All products
Produktdokumentation
In Citrix ADC 13.1
In Citrix ADC
In All products
Citrix ADC
Current Release 13.0 12.1 11.1
PDF anzeigen

IP-Reputation

October 8, 2021
Beigesteuert von: 
C

IP-Reputation ist ein Tool, das IP-Adressen identifiziert, die unerwünschte Anfragen senden. Mithilfe der IP-Reputationsliste können Sie Anfragen ablehnen, die von einer IP-Adresse mit schlechtem Ruf stammen. Optimieren Sie die Leistung der Web Application Firewall, indem Sie Anfragen filtern, die Sie nicht verarbeiten möchten. Setzen Sie eine Anfrage zurück, löschen Sie sie oder konfigurieren Sie sogar eine Responder Policy, um eine bestimmte Responder Action auszuführen.

Im Folgenden sind einige Angriffe aufgeführt, die Sie mithilfe von IP Reputation verhindern können:

  • Virus Infizierte PCs. (Heim-PCs) sind die größte Spam-Quelle im Internet. IP Reputation kann die IP-Adresse identifizieren, die unerwünschte Anfragen sendet. Die IP-Reputation kann besonders nützlich sein, um große DDoS-, DoS- oder anomale SYN-Flood-Angriffe von bekannten infizierten Quellen zu blockieren.
  • Zentrales verwaltetes und automatisiertes Botnet. Angreifer haben aufgrund des Diebstahls von Kennwörtern an Popularität gewonnen, da es nicht lange dauert, bis Hunderte von Computern zusammenarbeiten, um Ihr Kennwort zu knacken. Es ist einfach, Botnet-Angriffe zu starten, um Kennwörter herauszufinden, die häufig verwendete Wörterbuchwörter verwenden.
  • Kompromittierter Webserver. Angriffe sind nicht so häufig, da das Bewusstsein und die Serversicherheit zugenommen haben, sodass Hacker und Spammer nach einfacheren Zielen suchen. Es gibt immer noch Webserver und Online-Formulare, die Hacker kompromittieren und zum Versenden von Spam verwenden können (wie Viren und Pornos). Solche Aktivitäten sind einfacher zu erkennen und schnell herunterzufahren oder mit einer Reputationsliste wie SpamRats zu blockieren.
  • Windows Exploits. (wie Active IPs, die Malware, Shell-Code, Rootkits, Würmer oder Viren anbieten oder verbreiten).
  • Bekannte Spammer und Hacker.
  • Massen-E-Mail-Marketingkampagnen.
  • Phishing-Proxys (IP-Adressen, die Phishing-Websites hosten, und andere Betrugsfälle wie Werbeklickbetrug oder Spielbetrug).
  • Anonyme Proxys (IPs, die Proxy- und Anonymisierungsdienste bereitstellen, einschließlich The Onion Router alias TOR).

Eine Citrix ADC-Appliance verwendet Webroot als Dienstanbieter für eine dynamisch generierte bösartige IP-Datenbank und die Metadaten für diese IP-Adressen. Metadaten können Geolokationsdetails, Bedrohungskategorie, Bedrohungszahl usw. enthalten. Die Webroot Threat Intelligence-Engine erhält Echtzeitdaten von Millionen von Sensoren. Es erfasst, scannt, analysiert und bewertet die Daten automatisch und kontinuierlich mithilfe von fortschrittlichem maschinellem Lernen und Verhaltensanalysen. Die Informationen über eine Bedrohung werden ständig aktualisiert.

Wenn irgendwo im Netzwerk eine Bedrohung erkannt wird, wird die IP-Adresse als bösartig gekennzeichnet und alle mit dem Netzwerk verbundenen Geräte sind sofort geschützt. Die dynamischen Änderungen der IP-Adressen werden mithilfe von fortschrittlichem maschinellem Lernen mit hoher Geschwindigkeit und Genauigkeit verarbeitet.

Wie im Datenblatt von Webroot angegeben, identifiziert das Sensornetzwerk des Webroot viele wichtige IP-Bedrohungsarten, darunter Spam-Quellen, Windows-Exploits, Botnetze, Scanner und andere. (Siehe das Flussdiagramm auf dem Datenblatt.)

Die Citrix ADC-Appliance verwendet einen iprep Clientprozess, um die Datenbank von Webroot abzurufen. Der iprep Client verwendet die Methode HTTP GET, um zum ersten Mal die absolute IP-Liste von Webroot abzurufen. Später werden alle 5 Minuten Delta-Änderungen überprüft.

Wichtig:

  • Stellen Sie sicher, dass die Citrix ADC-Appliance über einen Internetzugang verfügt und DNS konfiguriert ist, bevor Sie die IP-Reputationsfunktion verwenden.

  • Um auf die Webroot Datenbank zuzugreifen, muss die Citrix ADC-Appliance in der Lage sein, eine Verbindung zu api.bcti.brightcloud.com auf Port 443herzustellen. Jeder Knoten in der HA- oder Clusterbereitstellung erhält die Datenbank von Webroot und muss auf diesen vollqualifizierten Domänennamen (FQDN) zugreifen können.

  • Webroot hostet derzeit seine Reputationsdatenbank in AWS. Daher muss Citrix ADC in der Lage sein, AWS-Domänen für das Herunterladen der Reputationsdatenbank aufzulösen. Außerdem muss die Firewall für AWS-Domains offen sein.

Hinweis:

Jede Paket-Engine benötigt mindestens 4 GB, um ordnungsgemäß zu funktionieren, wenn die IP-Reputationsfunktion aktiviert ist.

Erweiterte Richtlinienausdrücke. Konfigurieren Sie die IP-Reputationsfunktion mithilfe erweiterter Richtlinienausdrücke (erweiterte Richtlinienausdrücke) in den Richtlinien, die an unterstützte Module wie Web Application Firewall und Responder gebunden sind. Im Folgenden finden Sie zwei Beispiele, die Ausdrücke zeigen, mit denen festgestellt werden kann, ob die Client-IP-Adresse bösartig ist.

  1. CLIENT.IP.SRC.IPREP_IS_MALICIOUS: Dieser Ausdruck wird als TRUE ausgewertet, wenn der Client in die Liste der böswilligen IP-Adressen aufgenommen wurde.
  2. CLIENT.IP.SRC.IPREP_THREAT_CATEGORY (CATEGORY): Dieser Ausdruck wird als TRUE ausgewertet, wenn die Client-IP böswillige IP ist und zur angegebenen Bedrohungskategorie gehört.

Im Folgenden sind die möglichen Werte für die Bedrohungskategorie:

SPAM_SOURCES, WINDOWS_EXPLOITS, WEB_ATTACKS, BOTNETS, SCANNERS, DOS, REPUTATION, PHISHING, PROXY, NETWORK, CLOUD_PROVIDERS, MOBILE_THREATS, TOR_PROXY.

Hinweis:

Die IP-Reputationsfunktion prüft sowohl Quell- als auch Ziel-IP-Adressen. Es erkennt böswillige IPs im Header. Wenn der PI-Ausdruck in einer Richtlinie die IP-Adresse identifizieren kann, bestimmt die IP-Reputationsprüfung, ob sie bösartig ist.

iPrep Protokollnachricht. Die /var/log/iprep.log Datei enthält nützliche Nachrichten, die Informationen über die Kommunikation mit der Webroot-Datenbank erfassen. Die Informationen können sich auf die während der Webrootkommunikation verwendeten Anmeldeinformationen beziehen, die fehlende Verbindung mit Webroot, Informationen, die in einem Update enthalten sind (z. B. die Anzahl der IP-Adressen in der Datenbank).

Erstellen einer Sperrliste oder einer Allowlist von IPs unter Verwendung eines Richtliniendatensatzes. Sie können eine Positivliste verwalten, um den Zugriff auf bestimmte IP-Adressen zu ermöglichen, die in der Webroot-Datenbank blockiert sind. Sie können auch eine angepasste Sperrliste von IP-Adressen erstellen, um die Reputationsprüfung von Webroot zu ergänzen. Diese Listen können mithilfe eines Richtliniendatensatzeserstellt werden. Ein Datensatz ist eine spezielle Form von Mustersatz, die sich ideal für den IPv4-Adressabgleich eignet. Um Datensätze zu verwenden, erstellen Sie zuerst den Datensatz und binden IPv4-Adressen an ihn. Verwenden Sie beim Konfigurieren einer Richtlinie zum Vergleichen einer Zeichenfolge in einem Paket einen entsprechenden Operator und übergeben Sie den Namen des Mustersatzes oder Datensatzes als Argument.

So erstellen Sie eine Positivliste von Adressen, die während der IP-Reputationsbewertung als Ausnahmen behandelt werden sollen:

  • Konfigurieren Sie die Richtlinie so, dass der PI-Ausdruck auf False ausgewertet wird, selbst wenn eine Adresse in der Positivliste von Webroot (oder einem Dienstanbieter) als bösartig aufgeführt wird.

IP-Reputation aktivieren oder deaktivieren. Die IP-Reputation ist Teil der allgemeinen Reputationsfunktion, die lizenzbasiert ist. Wenn Sie die Reputationsfunktion aktivieren oder deaktivieren, wird die IP-Reputation aktiviert oder deaktiviert.

Allgemeines Verfahren. Die Bereitstellung von IP-Reputation umfasst die folgenden Aufgaben:

  • Stellen Sie sicher, dass die auf der Citrix ADC-Appliance installierte Lizenz IP-Reputationsunterstützung bietet. Premium- und Standalone-Anwendungsfirewall-Lizenzen unterstützen die IP-Reputationsfunktion.
  • Aktivieren Sie die Funktionen für IP-Reputation und Anwendungsfirewall.
  • Fügen Sie ein Anwendungs-Firewall-Profil hinzu.
  • Fügen Sie mithilfe der PI-Ausdrücke eine Anwendungsfirewall-Richtlinie hinzu, um die böswilligen IP-Adressen in der IP-Reputation-Datenbank zu identifizieren.
  • Binden Sie die Anwendungsfirewall-Richtlinie an einen entsprechenden Bindepunkt.
  • Stellen Sie sicher, dass jede Anfrage von einer böswilligen Adresse in der ns.log Datei protokolliert wird, um anzuzeigen, dass die Anforderung wie im Profil angegeben verarbeitet wurde.

Konfigurieren Sie die IP-Reputationsfunktion über die CLI

Geben Sie an der Eingabeaufforderung ein:

  • enable feature reputation
  • disable feature reputation

Die folgenden Beispiele zeigen, wie Sie mithilfe des PI-Ausdrucks eine Anwendungsfirewall-Richtlinie hinzufügen können, um schädliche Adressen zu identifizieren. Sie können die integrierten Profile verwenden, ein Profil hinzufügen oder ein vorhandenes Profil konfigurieren, um die gewünschte Aktion aufzurufen, wenn eine Anforderung mit einer Richtlinienübereinstimmung übereinstimmt.

Beispiele 3 und 4 zeigen, wie ein Richtlinien-Dataset erstellt wird, um eine Sperrliste oder eine Positivliste von IP-Adressen zu generieren.

Beispiel 1:

Der folgende Befehl erstellt eine Richtlinie, die böswillige IP-Adressen identifiziert und die Anforderung blockiert, wenn eine Übereinstimmung ausgelöst wird:

add appfw policy pol1 CLIENT.IP.SRC.IPREP_IS_MALICIOUS APPFW_BLOCK

Beispiel 2:

Der folgende Befehl erstellt eine Richtlinie, die den Reputationsdienst verwendet, um die Client-IP-Adresse im X-Forwarded-For Header zu überprüfen und die Verbindung zurückzusetzen, wenn eine Übereinstimmung ausgelöst wird.

> add appfw policy pol1 "HTTP.REQ.HEADER(\"X-Forwarded-For\").TYPECAST_IP_ADDRESS_AT.IPREP_IS_MALICIOUS" APPFW_RESET**

Beispiel 3:

Das folgende Beispiel zeigt, wie eine Liste hinzugefügt wird, um Ausnahmen hinzuzufügen, die bestimmte IP-Adressen zulassen:

> add policy dataset Allow_list1 ipv4

> bind policy dataset Allow_list1 10.217.25.17 -index 1

> bind policy dataset Allow_list1 10.217.25.18 -index 2

Beispiel 4:

Das folgende Beispiel zeigt, wie die angepasste Liste hinzugefügt wird, um bestimmte IP-Adressen als bösartig zu kennzeichnen:

> add policy dataset Block_list1 ipv4

> bind policy dataset Block_list1 10.217.31.48 -index 1

> bind policy dataset Block_list1 10.217.25.19 -index 2

Beispiel 5:

Das folgende Beispiel zeigt einen Richtlinienausdruck, um die Client-IP unter den folgenden Bedingungen zu blockieren:

  • Es stimmt mit einer in der benutzerdefinierten Block_List1 konfigurierten IP-Adresse überein (Beispiel 4)
  • Sie stimmt mit einer in der Webroot-Datenbank aufgelisteten IP-Adresse überein, es sei denn, sie wird durch die Aufnahme in die allow_List1 gelockert (Beispiel 3).
> add appfw policy "Ip_Rep_Policy" "((CLIENT.IP.SRC.IPREP_IS_MALICIOUS || CLIENT.IP.SRC.TYPECAST_TEXT_T.CONTAINS_ANY("Block_list1")) && ! (CLIENT.IP.SRC.TYPECAST_TEXT_T.CONTAINS_ANY("Allow_list1")))" APPFW_BLOCK
<!--NeedCopy-->

Verwenden des Proxyservers:

Wenn die Citrix ADC-Appliance keinen direkten Zugriff auf das Internet hat und mit einem Proxy verbunden ist, konfigurieren Sie den IP-Reputation-Client so, dass er Anfragen an den Proxy sendet.

Geben Sie an der Eingabeaufforderung ein:

set reputation settings –proxyServer <proxy server ip> -proxyPort <proxy server port>

Beispiel:

> set reputation settings proxyServer 10.102.30.112 proxyPort 3128

> set reputation settings –proxyServer testproxy.citrite.net –proxyPort 3128

> unset reputation settings –proxyserver –proxyport

> sh reputation settings

Hinweis:

Die Proxy-Server-IP kann eine IP-Adresse oder ein vollqualifizierter Domänenname (FQDN) sein.

Konfigurieren Sie die IP-Reputation über die Citrix ADC GUI

  1. Navigieren Sie zu System > Einstellungen. Klicken Sie im Abschnitt Modi und Funktionen auf den Link, um auf den Bereich Erweiterte Funktionen konfigurieren zuzugreifen und das Kontrollkästchen Reputation zu aktivieren.
  2. Klicken Sie auf OK.

IP-Reputation aktivieren

So konfigurieren Sie einen Proxyserver über die Citrix ADC GUI

  1. Navigieren Sie auf der Registerkarte Konfiguration zu Sicherheit > Reputation. Klicken Sie unter Einstellungenauf Reputationseinstellungen ändern, um einen Proxyserver zu konfigurieren. Sie können die Reputationsfunktion auch aktivieren oder deaktivieren. Proxyserver kann eine IP-Adresse oder ein vollqualifizierter Domänenname (FQDN) sein. DerProxy-Port akzeptiert Werte zwischen [1 und 65535].

Reputation-Einstellungen

Erstellen Sie über die GUI eine Positivliste und eine Sperrliste von Client-IP-Adressen

  1. Navigieren Sie auf der Registerkarte Konfiguration zu AppExpert > Datensätze.
  2. Klicken Sie auf Hinzufügen.

Konfigurieren des Datensatzes

  • Geben Sie im Bereich Datensatz erstellen (oder Datensatz konfigurieren) einen aussagekräftigen Namen für die Liste der IP-Adressen an. Der Name muss den Zweck der Liste widerspiegeln.
  • Wählen Sie Typ als IPv4aus.
  • Klicken Sie auf Einfügen, um einen Eintrag hinzuzufügen.

Datensatz einfügen

  • Fügen Sie im Bereich Policy-Dataset-Bindung konfigurieren eine IP-Adresse im IPv4-Format in das Eingabefeld Wert ein.
  • Stellen Sie einen Index bereit.
  • Fügen Sie einen Kommentar hinzu, der den Zweck der Liste erklärt. Dieser Schritt ist optional, wird jedoch empfohlen, da ein beschreibender Kommentar bei der Verwaltung der Liste hilfreich ist.

Auf ähnliche Weise können Sie eine Sperrliste erstellen und die IP-Adressen hinzufügen, die als bösartig angesehen werden sollen.

Weitere Informationen zur Verwendung von Datensätzen und zum Konfigurieren erweiterter Richtlinienausdrücke finden Sie unter Mustersätze und Datensätze.

Konfigurieren einer Anwendungs-Firewall-Richtlinie über die Citrix ADC GUI

  1. Navigieren Sie auf der Registerkarte Konfiguration zu Sicherheit > Anwendungsfirewall > Richtlinien > Firewall. Klicken Sie auf Hinzufügen, um mithilfe der PI-Ausdrücke eine Richtlinie hinzuzufügen, um die IP-Reputation zu verwenden.

Sie können auch den Ausdruckseditor verwenden, um Ihren eigenen Richtlinienausdruck zu erstellen. Die Liste zeigt vorkonfigurierte Optionen, die für die Konfiguration eines Ausdrucks mithilfe der Bedrohungskategorien nützlich sind.

Highlights

  • Stoppen Sie schnell und genau schlechten Datenverkehr am Rand des Netzwerks vor bekannten böswilligen IP-Adressen, die verschiedene Arten von Bedrohungen darstellen. Sie können die Anfrage blockieren, ohne den Text zu analysieren.
  • Konfigurieren Sie dynamisch die IP-Reputationsfunktion für mehrere Anwendungen.
  • Schützen Sie Ihr Netzwerk ohne Leistungseinbußen vor Datenverletzungen und konsolidieren Sie den Schutz mithilfe schneller und einfacher Bereitstellungen auf einer einzigen Services-Fabric.
  • Sie können IP-Reputationsprüfungen für Quell- und Ziel-IPs durchführen.
  • Sie können die Header auch überprüfen, um schädliche IPs zu erkennen.
  • Die IP-Reputationsprüfung wird sowohl bei Forward-Proxy- als auch bei Reverse-Proxy-Bereitstellungen unterstützt.
  • Der IP-Reputationsprozess stellt eine Verbindung zu Webroot her und aktualisiert die Datenbank alle 5 Minuten.
  • Jeder Knoten in der High Availability (HA) oder Clusterbereitstellung erhält die Datenbank von Webroot.
  • Die IP-Reputationsdaten werden von allen Partitionen in Admin-Partitions-Bereitstellungen gemeinsam genutzt.
  • Sie können einen AppExpert-Datensatz verwenden, um Listen von IP-Adressen zu erstellen und Ausnahmen für IPs hinzuzufügen, die in der Webroot Datenbank blockiert sind. Sie können auch Ihre eigene angepasste Sperrliste erstellen, um bestimmte IPs als bösartig zu kennzeichnen.
  • Die Datei iprep.db wird im /var/nslog/iprep Ordner erstellt. Nach der Erstellung wird es nicht gelöscht, auch wenn das Feature deaktiviert ist.
  • Wenn die Reputationsfunktion aktiviert ist, wird die Citrix ADC Webroot Datenbank heruntergeladen. Danach wird es alle 5 Minuten aktualisiert.
  • Die Hauptversion der Webroot Datenbank ist Version: 1.
  • Die Nebenversion wird jeden Tag aktualisiert. Die Update-Version wird alle 5 Minuten erhöht und auf 1 zurückgesetzt, wenn die Nebenversion erhöht wird.
  • PI-Ausdrücke ermöglichen es Ihnen, die IP-Reputation mit anderen Funktionen wie Responder und Rewrite zu verwenden.
  • Die IP-Adressen in der Datenbank sind in Dezimalschreibweise.

Tipps zum Debuggen

  • Wenn Sie die Reputationsfunktion in der GUI nicht sehen können, überprüfen Sie, ob Sie über die richtige Lizenz verfügen.
  • Überwachen Sie die Nachrichten var/log/iprep.log zum Debuggen.
  • Webrootkonnektivität: Wenn die ns iprep: Not able to connect/resolve WebRoot Meldung angezeigt wird, stellen Sie sicher, dass die Appliance über einen Internetzugang verfügt und DNS konfiguriert ist.
  • Proxyserver: Wenn die ns iprep: iprep_curl_download: 88 curl_easy_perform failed. Error code: 5 Err msg:couldnt resolve proxy name Meldung angezeigt wird, stellen Sie sicher, dass die Proxy-Serverkonfiguration korrekt ist.
  • IP-Reputationsfunktion funktioniert nicht: Der IP-Reputationsprozess dauert etwa fünf Minuten, nachdem Sie die Reputationsfunktion aktiviert haben. Die IP-Reputationsfunktion funktioniert möglicherweise für diese Dauer nicht.
  • Datenbankdownload: Wenn der Download von IP-DB-Daten nach dem Aktivieren der IP-Reputationsfunktion fehlschlägt, wird der folgende Fehler in den Protokollen angezeigt.

iprep: iprep_curl_download:86 curl_easy_perform failed. Error code:7 Err msg:Couldn't connect to server

Lösung: Zulassen Sie den ausgehenden Datenverkehr zu den folgenden URLs, oder konfigurieren Sie einen Proxy, um das Problem zu beheben.

localdb-ip-daily.brightcloud.com:443
localdb-ip-rtu.brightcloud.com:443
api.bcti.brightcloud.com:443
<!--NeedCopy-->
IP-Reputation
October 8, 2021
Beigesteuert von: 
C
October 8, 2021
Beigesteuert von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Hinweise | Cookie-Einstellungen | Consent settings
© 1999- Citrix Systems, Inc. All rights reserved.