Mobile-Menu

Kostenlos mehr Schutz vor bekannten Gefahrenquellen Geo-IP-Filter und Blockierlisten für Firewalls

Von Thomas Joos 5 min Lesedauer

Mit GeoIP-Filtern und Blockierlisten mit bekannt gefährlichen IP-Adressen lassen sich Firewalls aufbohren und damit Netzwerke nachhaltig schützen. Es lohnt sich, die Möglichkeiten in Betracht zu ziehen und die eigene Firewall damit zu verbessern.

Mit Blockierlisten und Geo-IP-Filtern für Firewalls lassen sich viele Angriffe ganz einfach automatisch abwehren.(Bild: bluebay2014 - stock.adobe.com)
Mit Blockierlisten und Geo-IP-Filtern für Firewalls lassen sich viele Angriffe ganz einfach automatisch abwehren.
(Bild: bluebay2014 - stock.adobe.com)

Sicherheitsvorfälle und Angriffe auf Unternehmen durch Cyberkriminelle nehmen weiter stark zu. Um zu reagieren, sollten Verantwortliche überprüfen, wie Sie bestehende Sicherheitstechnologien deutlich verbessern können. Es gibt im Internet zahlreiche Quellen mit Blockierlisten für IP-Adressen, die sich dynamisch in Firewalls einbinden lassen und die durch das jeweilige Projekt gepflegt werden. Einmal eingerichtet, aktualisiert sich die Firewall selbst mit den Listen und blockiert Zugriffe von den jeweiligen Webseiten automatisch. Das erhöht natürlich deutlich die Sicherheit.

Bildergalerie
Bildergalerie mit 10 Bildern

Zusätzlich lassen sich Geo-IP-Filter in vielen professionellen Firewalls einbauen, die Zugriffe aus bestimmten Ländern kategorisch blockieren. Auch das schützt die Firewall und das Netzwerk. Warum soll eine Firewall Anfragen aus Ländern prüfen, aus denen ohnehin keine Verbindungen erwartet werden. Welche Länder das sind, kann in den Regeln selbst definiert werden.

Die Blockierlisten bei Spamhaus und Firefol lassen sich in wenigen Minuten einbinden, es sind dazu keinerlei Konten bei den Anbietern notwendig.

Blockierlisten nutzen am Beispiel von OPNsense

Blocklisten gibt es von verschiedenen Herstellern. Diese stehen als Text-Datei zur Verfügung, die Firewalls auslesen können. OPNsense ist dazu in der Lage und kann die jeweilige aktuelle Liste täglich aktualisieren und in die Blockierregeln einbauen. Alleine dadurch lassen sich in Unternehmen zahlreiche Angriffe von IP-Adressen blockieren, die allgemein als gefährlich gelten. Die Integration ist kostenlos.

Spamhaus und Firehol bieten dazu die jeweiligen Droplisten an, die sich in OPNsense, aber auch in anderen Firewalls integrieren lassen. Wir zeigen nachfolgend, wie das geht. Am Beispiel von OPNsense sind die dazu notwendigen Einstellungen bei "Firewall -> Alias" zu finden. Beim Anlegen eines neuen Alias wird im Fall von OPNsense der Typ "URL-Tabelle (IPs)" ausgewählt und als Inhalt der Link zur Textdatei mit den IP-Adressen. Im Fall von Spamhaus ist das:

https://www.spamhaus.org/drop/drop.txt

Die genaue Adresse ist aber auch auf der Seite von Spamhaus.org zu finden. Als "Refresh Frequency" sollte bei OPNsense bei "Tage" der Wert "1" und bei "Stunden" der Wert "0" stehen. Es reicht, wenn die Firewall die Liste einmal täglich abruft. Mit "Speichern" wird die Liste in der Firewall als Alias hinterlegt. Es ist sinnvoll ab und zu in der Oberfläche der Firewall zu überprüfen, ob die Aktualisierung der Liste funktoniert. Bei OPNsense ist das in der Spalte "Zuletzt aktualisiert" bei "Firewall -> Alias" zu sehen.

Parallel zur Drop-Liste, lässt sich auf dem gleichen Weg die EDROP-Liste als Alias anlegen. Diese hat die Adresse:

https://www.spamhaus.org/drop/edrop.txt

Parallel dazu ist es sinnvoll drei weitere Aliase anzulegen, mit Listen die Firehol ebenfalls kostenlos anbietet. Das Anlegen funktioniert auf genau dem gleichen Weg, wie das Anlegen der Blockierlisten von Spamhaus. Die Adressen dazu sind:

https://raw.githubusercontent.com/ktsaou/blocklist-ipsets/master/firehol_level1.netsethttps://raw.githubusercontent.com/ktsaou/blocklist-ipsets/master/firehol_level2.netsethttps://raw.githubusercontent.com/ktsaou/blocklist-ipsets/master/firehol_level3.netset

Dadurch stehen in der Firewall fünf verschiedene Aliase bereit, die sich automatisch täglich mit aktuellen IP-Adressen aktualisieren. Die Firewall kennt dadurch schon mal die IP-Adressen im Internet, die als gefährlich bekannt sind der nächste Schritt besteht darin Regeln zu erstellen.

Firewall-Regeln für IP-Blockierlisten erstellen

Firewallregeln sollten die erstellten Aliase verwenden, um Datenverkehr von diesen IP-Adressen zu blockieren. Am Beispiel von OPNsense erfolgt das bei "Firewall -> Regeln -> WAN". Beim erstellen einer neuen Regel wird diese mit "Blockieren" bei "Aktion" konfiguriert.

Generell sollte die Regel mit "Wende die Aktion sofort bei einem Treffer an" bei "Schnell" konfiguriert sein. Bei Schnittstelle kommt "WAN" zum Einsatz, da die Regel unerwünschten IP-Verkehr aus dem Internet blockieren soll. Bei "TCP/IP-Version" kommt "IPv4" oder "IPv4+IPv6" zum Einsatz. In diesem Fall kann bei Spamhaus auch die IPv6-Blockierliste als Alias angelegt werden.

Wichtig ist bei "Source" den Alias auszuwählen, der für diese Regel erstellt wurde. Aus den fünf Aliasen werden daher fünf Firewallregeln mit identischen Einstellungen aber unterschiedlichen Quellen. Bei "Ziel" sollte "Jeglich" eingestellt sein und bei "Protokoll" kann es sinnvoll sein die Protokollierung zu aktivieren. Kategorien sind optional, aber sinnvoll um den Überblick zu behalten. Nach der Speicherung und Übernahme der Regeln sind die Filter bereits aktiv. Auf genau dem gleichen Weg werden für die anderen Blockierlisten ebenfalls Firewallregeln angelegt.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Sind alle Regeln in der Firewall angelegt, macht es Sinn diese ganz oben in der Prioritätenliste der Firewall zu hinterlegen damit diese so früh wie möglich angewendet werden, bevor andere Firewall-Regeln die Pakete überprüfen müssen. Nachdem alle Regeln erstellt und oben in der Prioritätenliste ganz oben angelegt sind, blockiert die Firewall automatisch Pakete von diesen Adressen. Das ist am Beispiel von OPNsense bei "Firewall -> Protokolldateien -> Liveansicht" in der Spalte "Etikett" zu sehen.

Bildergalerie
Bildergalerie mit 10 Bildern

Geo-IP-Filter nutzen: MaxMind GeoLite 2

Unter den Geo-IP-Filtern, die es für Firewalls gibt, ist vor allem der Anbieter Maxmind mit seinem kostenlosen Filter GeoLite 2 beliebt. Um diesen zu nutzen, ist aber das Anlegen eines kostenlosen Kontos notwendig. Nachdem das Konto angelegt ist, kann die Anmeldung am Webfrontend erfolgen.

Danach muss bei "Manage License Keys" ein neuer Schlüssel erstellt werden. Diese ist später auf der Firewall wichtig. Wichtig ist den Key zu kopieren, weil er für die Firewall wichtig ist. Danach muss eine URL erstellt werden, die später in der Firewall wichtig ist. Die URL hat folgende Syntax:

https://download.maxmind.com/app/geoip_download?edition_id=GeoLite2-Country-CSV&license_key=<Hier Lizenzschlüssel eintragen>&suffix=zip

In der Verwaltung der Firewall, zum Beispiel bei OPNsense muss bei "Firewall -> Aliase" auf der Registerkarte "GeoIP settings" die URL eingetragen werden. Sobald die Änderungen übernommen wurden , steht der Filter zur Verfügung.

Danach muss ein neuer Alias angelegt werden. Bei "Typ" wird in diesem Fall "GeoIP" ausgewählt. Danach zieht sich die Firewall die Liste aus dem hinterlegten Konto der GeoIP-Liste. Hier sollten alle Länder ausgewählt werden, von denen Anfragen an die Firewall blockiert werden sollen. Der Alias lässt sich natürlich jederzeit anpassen. Sobald auch dieser Alias erstellt ist, wird eine neue Firewall-Regel für das Blockieren von Datenverkehr für diesen Alias erstellt. Auch diese Regel sollte ganz oben bei der Firewall angeordnet werden. Nach erfolgreicher Erstellung zeigt die Firewall auch hier in den Protokollen an, welche Pakete aus den verschiedenen Ländern blockiert werden.

(ID:49514635)

Weiterführende Inhalte