Pour protéger l'accès à mes machines j'utilise plusieurs listes d'adresses IP réputées "BLACK", par exemple :
- http://rules.emergingthreats.net/blockrules/compromised-ips.txt
- http://rules.emergingthreats.net/fwrules/emerging-Block-IPs.txt
- https://feodotracker.abuse.ch/downloads/ipblocklist_recommended.txt
- https://sslbl.abuse.ch/blacklist/sslipblacklist.txt
- https://security.berkeley.edu/services/aggressive-ip-distribution-aid-list
- http://cinsscore.com/list/ci-badguys.txt
- http://malc0de.com/bl/IP_Blacklist.txt
- https://malwareworld.com/textlists/suspiciousIPs.txt
- https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level…
- https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level…
- https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level…
- https://iplists.firehol.org/files/blocklist_net_ua.ipset
- https://iplists.firehol.org/files/iblocklist_ciarmy_malicious.netset
- https://iplists.firehol.org/files/nixspam.ipset
- https://iplists.firehol.org/files/php_spammers_30d.ipset
- https://myip.ms/files/blacklist/csf/latest_blacklist.txt
- https://myip.ms/files/blacklist/general/latest_blacklist.txt
- https://myip.ms/files/blacklist/general/latest_blacklist_users_submitted.txt
- https://www.binarydefense.com/banlist.txt
- https://www.dshield.org/feeds/topips.txt
- https://reputation.alienvault.com/reputation.generic
- https://www.binarydefense.com/banlist.txt
- https://blocklist.greensnow.co/greensnow.txt
- https://lists.blocklist.de/lists/all.txt
- https://talosintelligence.com/documents/ip-blacklist
- https://www.spamhaus.org/drop/drop.txt
- https://www.spamhaus.org/drop/edrop.txt
- http://sanyalnet-cloud-vps.freeddns.org/mirai-ips.txt
- https://www.team-cymru.org/Services/Bogons/bogon-bn-agg.txt
- https://www.team-cymru.org/Services/Bogons/fullbogons-ipv4.txt
- https://myip.ms/files/blacklist/general/latest_blacklist.txt
- https://report.cs.rutgers.edu/DROP/attackers
- https://raw.githubusercontent.com/pallebone/StrictBlockPAllebone/master/BlockIP…
Il en existe pas mal d'autres mais celles-ci fournissent déjà une bonne protection et donnent chez moi plus de 2000 hits par jour.
Une fois bien triées :
- Les ip simples on élimine les doubles
- Les sous-réseaux on les passe dans Ipcalc là aussi pour éliminer les doublons.
Ensuite les deux "paquets" sont chargés dans deux "sets" (un set IP et un set NET) et le tour est joué en utilisant ces sets pour filtrer INPUT,FORWARD et même OUTPUT.
Une autre méthode consiste à éliminer les réseaux en provenance de pays très laxistes sur la surveillance ou dont le piratage est un des piliers. On trouve ces renseignements par exemple sur le site http://www.ipdeny.com/ipblocks/data/countries/INITIALES_PAYS.zone
Soit par exemple "http://www.ipdeny.com/ipblocks/data/countries/cn.zone" pour éliminer tous les chinois d'un coup !
Aujourd'hui j'utilise les données fournies par IP2location pour gérer cette partie "PAYS". La liste des pays actuellement "bloques" :
BAD_LAND_LIST = AR,BR,CL,CN,CO,EC,EG,GE,ID,IN,IR,KZ,LV,MN,MX,NG,PH,PK,PS,RU,SC,TR,VE,VN
Toutes ces adresses ou réseaux chargés dans des sets assurent une meilleure tranquillité !