Quand on g\u00e8re un serveur, y’a un truc qui rend dingue, c’est le bruit de fond de ces dizaines de milliers d’IPs qui scannent vos ports, qui tentent du bruteforce sur le port 22, qui cherchent des failles WordPress ou des phpMyAdmin oubli\u00e9s… et surtout qui font tourner Fail2ban \u00e0 plein r\u00e9gime dans les logs pour stopper ce qui peut l’\u00eatre.<\/p>\n
Fail2ban est d’ailleurs hyper r\u00e9actif mais il attend qu’une IP fasse une connerie dans vos logs Apache ou SSH avant de la bloquer. Donc c’est quand m\u00eame un peu tard.. Alors si on pouvait carr\u00e9ment virer le gros du trafic pourri avant m\u00eame qu’il arrive \u00e0 nos services ? Ce serait pas mieux ?<\/p>\n
H\u00e9 bien c’est exactement ce que fait C\u00f4t\u00e9 compatibilit\u00e9, c’est plut\u00f4t large : OPNsense, Fortinet, Palo Alto, F5 BIG-IP, Stormshield, Synology NAS, BunkerWeb… donc clairement, la plupart des pare-feu et WAF du march\u00e9 peuvent ing\u00e9rer la liste directement via une URL. Et pour les \u00e9quipements un peu anciens qui ont des limites sur le nombre d’entr\u00e9es, y’a m\u00eame des listes splitt\u00e9es en paquets de 30 000 IPs.<\/p>\n Le projet est maintenu depuis 2023 par Duggy Tuxy, un CISO qui a visiblement d\u00e9cid\u00e9 que ses week-ends aussi seraient consacr\u00e9s \u00e0 la threat intelligence. Presque d\u00e9j\u00e0 4 000 commits sur le d\u00e9p\u00f4t Git, soit des mises \u00e0 jour quasiment tous les jours. Et c’est impressionnant car le taux de faux positifs affich\u00e9 est de moins de 2 par mois, ce qui franchement, pour une liste de cette taille, est plut\u00f4t fou.<\/p>\n D’ailleurs, si vous utilisez d\u00e9j\u00e0 Attention par contre, la liste est pens\u00e9e uniquement pour le trafic entrant (WAN vers LAN). L’appliquer en sortie bloquerait vos propres connexions l\u00e9gitimes. Et sauf si votre firewall g\u00e8re le rechargement dynamique, pensez \u00e9galement \u00e0 automatiser le refresh via un cron toutes les 6 heures.<\/p>\n Et pour assurer une haute disponibilit\u00e9, le projet est distribu\u00e9 sur 5 miroirs : GitHub, GitLab, jsDelivr CDN, BitBucket et Codeberg. Du coup m\u00eame si une source tombe, vos firewalls continuent \u00e0 se mettre \u00e0 jour.<\/p>\n Bref, si vous cherchez \u00e0 r\u00e9duire le bruit sur vos serveurs sans vous prendre la t\u00eate, allez, c’est gratuit, c’est sous licence GPLv3 et \u00e7a se configure en 2 minutes. Merci \u00e0 Duggy Tuxy pour le tuyau !<\/p>\n","protected":false},"excerpt":{"rendered":" Quand on g\u00e8re un serveur, y’a un truc qui rend dingue, c’est le bruit de fond de ces dizaines de milliers d’IPs qui scannent vos ports, qui tentent du bruteforce sur le port 22, qui cherchent des failles WordPress ou des phpMyAdmin oubli\u00e9s… et surtout qui font tourner Fail2ban \u00e0 plein r\u00e9gime dans les logs pour stopper ce qui peut l’\u00eatre. Fail2ban est d’ailleurs hyper r\u00e9actif mais il attend qu’une IP fasse une connerie dans vos logs Apache ou SSH avant de la bloquer. Donc c’est quand m\u00eame un peu tard.. Alors si on pouvait carr\u00e9ment virer le gros du trafic pourri avant m\u00eame qu’il arrive \u00e0 nos services ? Ce serait pas mieux ? H\u00e9 bien c’est exactement ce que fait Data-Shield IPv4 Blocklist , un projet open source qui maintient une liste d’environ 100 000 adresses IP identifi\u00e9es comme malveillantes. Le principe est simple… on colle l’URL RAW de la liste dans la config de son firewall (genre dans les alias d’OPNsense ou les External Block Lists de Fortinet) et hop, tout ce beau monde est filtr\u00e9 au niveau p\u00e9rim\u00e9trique. La liste (un simple fichier texte avec une IP par ligne) est rafra\u00eechie toutes les 6 heures avec une fen\u00eatre de r\u00e9tention de 15 jours, du coup les IPs qui ne sont plus actives finissent par sortir automatiquement. C\u00f4t\u00e9 compatibilit\u00e9, c’est plut\u00f4t large : OPNsense, Fortinet, Palo Alto, F5 BIG-IP, Stormshield, Synology NAS, BunkerWeb… donc clairement, la plupart des pare-feu et WAF du march\u00e9 peuvent ing\u00e9rer la liste directement via une URL. Et pour les \u00e9quipements un peu anciens qui ont des limites sur le nombre d’entr\u00e9es, y’a m\u00eame des listes splitt\u00e9es en paquets de 30 000 IPs. Le projet est maintenu depuis 2023 par Duggy Tuxy, un CISO qui a visiblement d\u00e9cid\u00e9 que ses week-ends aussi seraient consacr\u00e9s \u00e0 la threat intelligence. Presque d\u00e9j\u00e0 4 000 commits sur le d\u00e9p\u00f4t Git, soit des mises \u00e0 jour quasiment tous les jours. Et c’est impressionnant car le taux de faux positifs affich\u00e9 est de moins de 2 par mois, ce qui franchement, pour une liste de cette taille, est plut\u00f4t fou. D’ailleurs, si vous utilisez d\u00e9j\u00e0 FireHOL pour vos listes de blocage, Data-Shield peut tr\u00e8s bien venir en compl\u00e9ment. L’id\u00e9e c’est d’empiler les couches de d\u00e9fense… blocklist p\u00e9rim\u00e9trique au niveau iptables ou nftables en premi\u00e8re ligne, puis CrowdSec ou Fail2ban pour le trafic qui passe quand m\u00eame. Un d\u00e9fense en profondeur donc ! Attention par contre, la liste est pens\u00e9e uniquement pour le trafic entrant (WAN vers LAN). L’appliquer en sortie bloquerait vos propres connexions l\u00e9gitimes. Et sauf si votre firewall g\u00e8re le rechargement dynamique, pensez \u00e9galement \u00e0 automatiser le refresh via un cron toutes les 6 heures. Et pour assurer une haute disponibilit\u00e9, le projet est distribu\u00e9 sur 5 miroirs : GitHub, GitLab, jsDelivr CDN, BitBucket et Codeberg. Du coup m\u00eame si une source tombe, vos firewalls continuent \u00e0 se mettre \u00e0 jour. Bref, si vous cherchez \u00e0 r\u00e9duire le bruit sur vos serveurs sans vous prendre la t\u00eate, allez, c’est gratuit, c’est sous licence GPLv3 et \u00e7a se configure en 2 minutes. Merci \u00e0 Duggy Tuxy pour le tuyau !<\/p>\n","protected":false},"author":1,"featured_media":2636,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"give_campaign_id":0,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_kadence_starter_templates_imported_post":false,"footnotes":""},"class_list":["post-2635","page","type-page","status-publish","has-post-thumbnail","hentry"],"campaignId":"","_links":{"self":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/pages\/2635","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/comments?post=2635"}],"version-history":[{"count":0,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/pages\/2635\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/media\/2636"}],"wp:attachment":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/media?parent=2635"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nData-Shield IPv4 Blocklist<\/a>
\n, un projet open source qui maintient une liste d’environ 100 000 adresses IP identifi\u00e9es comme malveillantes. Le principe est simple… on colle l’URL RAW de la liste dans la config de son firewall (genre dans les alias d’OPNsense ou les External Block Lists de Fortinet) et hop, tout ce beau monde est filtr\u00e9 au niveau p\u00e9rim\u00e9trique. La liste (un simple fichier texte avec une IP par ligne) est rafra\u00eechie toutes les 6 heures avec une fen\u00eatre de r\u00e9tention de 15 jours, du coup les IPs qui ne sont plus actives finissent par sortir automatiquement.<\/p>\n
\nFireHOL<\/a>
\npour vos listes de blocage, Data-Shield peut tr\u00e8s bien venir en compl\u00e9ment. L’id\u00e9e c’est d’empiler les couches de d\u00e9fense… blocklist p\u00e9rim\u00e9trique au niveau iptables ou nftables en premi\u00e8re ligne, puis
\nCrowdSec<\/a>
\nou Fail2ban pour le trafic qui passe quand m\u00eame. Un d\u00e9fense en profondeur donc !<\/p>\n