Linux-Server-Agent · für Hosting-Anbieter und Administratoren

ReportedIP-Agent: Die Community-Blocklist im Kernel Ihres Servers

Tausende von IP-Adressen, die heute Morgen andere Server angegriffen haben, werden bereits in ipset oder nftables blockiert, bevor ihr erster Angriff Sie erreicht, und jeder Angriff in Ihren eigenen Protokollen wird erkannt und gemeldet. Eine einzige statische Binärdatei für Hosting-Anbieter und Administratoren, die Web-, E-Mail-, FTP- und DNS-Dienste auf denselben Rechnern betreiben. Ab dem Professional-Tarif ist ein Server enthalten.

Linux-Agent holen Preise anzeigen

Ein Server ab Professional enthalten, drei mit Business. Weitere Server ab 4,90 € pro Monat, inkl. MwSt. Version 0.3.42

12.545

Adressen in der Liste, die ein lizenzierter Server bei Confidence 75 erhalten hat, gemessen am 29. September 2026. Bei Confidence 90 sind es 4.173, und den Schwellenwert bestimmen Sie.

196 Logs, 62 Zeilen

Konfiguration: Das hat der Installer auf einem Produktions-Hosting-Host von sich aus gefunden, über sieben Diensttypen hinweg, ohne eine einzige handgeschriebene Erfassungsregel.

50 MB

im Arbeitsspeicher, während er diese 196 Dateien überwacht, gemessen über dreieinhalb Stunden Laufzeit. Auf einem kleinen Host mit sieben Dateien sind es 16,6 MB.

Null

an uns gesendete Log-Zeilen, Payloads und User-Agents. Ein Bericht besteht aus einer Adresse, Kategorie-IDs und einem generierten Satz.

Ein Hosting-Server ist nicht ein Dienst. Er ist Web, Mail, FTP, DNS und ein Control Panel auf derselben Maschine, die zusammen einige Hundert Protokolldateien schreiben, und jede Angriffsart landet in einer anderen davon. Das alles von Hand zu beobachten ist ein Arbeitstag, und die Grenze bleibt trotzdem bestehen: Eine Sperrliste aus den eigenen Protokollen enthält nur das, was Sie zuerst gefunden hat. So lernt jeder Server im Internet dieselbe Lektion separat, auf eigene Kosten, Versuch für Versuch.

Die Situation	Dieser Server allein	Dieser Server im Netzwerk
Eine Adresse, die heute Morgen vierzig andere Hosts angegriffen hat und jetzt bei Ihnen ankommt	Ein erster Versuch, und ein zweiter, bis ein Schwellenwert überschritten ist. Was in der Zwischenzeit durchkam, kam durch.	Steht schon im Kernel-Set, bevor sie ankommt, weil vierzig Betreiber sie gemeldet haben, während Sie geschlafen haben.
Eine Brute-Force-Welle gegen Ihre Mail-Ports aus einem Adresspool, den Sie noch nie gesehen haben	Wird Adresse für Adresse gelernt, aus Ihren eigenen Fehlversuchen.	Einmal gelernt, von dem, der zuerst getroffen wurde, und nur auf Ihren Mail-Ports verworfen.
Ein neues Angriffsmuster, das zuerst auf einem anderen Kontinent auftaucht	Kommt hier als Unbekanntes an. Die Erkennung beginnt bei null.	Kommt hier als Adresse mit einem Confidence-Wert und einer Kategorie an.
Angriffe in den eigenen Protokollen dieses Rechners	Nach wie vor die einzige Quelle, die diese erkennen kann, und das in vollem Umfang: vierzehn Quelltypen, jeder mit einem eigenen Schwellenwert, jeder als Regeldatei, die Sie erweitern können.	Dieselbe Erkennung, und jeder Fund wird gemeldet, damit er dem nächsten Betreiber erspart bleibt.
Was das Lernen Sie kostet	Einen erfolgreichen Versuch pro Lektion, bezahlt mit Ihrem eigenen Datenverkehr.	4,90 Euro pro Monat und Server, inkl. MwSt., ab dem Professional-Tarif. Ein Server ist enthalten.

Linux-Server-Agent · für Hosting-Anbieter und Administratoren

Was Sie erhalten

Die Community Blacklist in ipset oder nftables. Auf einem lizenzierten Server ab Professional wird sie alle 15 Minuten aktualisiert und umfasst alles mit einem Confidence-Wert von 75 und höher. Die Abfrage erfolgt bedingt, sodass eine unveränderte Liste einen 304-Status und keinen Datenübertrag kostet, und die Übernahme in die Kernel-Sets erfolgt atomar, sodass es niemals einen Moment mit einem leeren oder unplausibel kurzen Set gibt.
Fünf Sets je Dienst statt einer Liste für alles: ssh, mail, web, ftp und edge. Eine Adresse, die ausschließlich Mailserver angreift, wird auf Ihren Mail-Ports verworfen und auf Port 443 in Ruhe gelassen, sodass eine geteilte Adresse Sie keinen Kundenverkehr kostet.
Der Installer sucht sich seine Arbeit selbst. Er prüft, welche Dienste laufen, welche Ports lauschen, wo diese Distribution ihre Protokolle ablegt und welche davon existieren, und schreibt die Konfiguration dann selbst: Auf dem Host oben waren das 196 Protokolle virtueller Hosts aus 62 Zeilen. Jede Quelle hat ihren eigenen Schwellenwert statt eines einzigen globalen Werts.
Eine statische Binärdatei. Kein cgo, kein Interpreter, keine Laufzeitumgebung, die gepatcht werden muss, nichts auf dem Host, wovon der Agent abhängt. linux/amd64 und linux/arm64.
Nichts über Ihren Datenverkehr verlässt den Rechner: keine Protokollzeile, kein Payload, kein User-Agent, keine URL, kein Benutzername. Ein Host identifiziert sich über eine zufällige Install-Id, die bei der Einrichtung geschrieben wird, und niemals über seinen Namen, sodass seine Lizenz nicht durch das Umbenennen eines Rechners übernommen werden kann.
Das Programm aktualisiert sich selbst anhand einer Ed25519-Signatur, die anhand eines in die Binärdatei integrierten Schlüssels auf Ihrem Rechner überprüft wird. Ein manipulierter Download scheitert an dieser Stelle, anstatt aufgrund der Übertragung über HTTPS als vertrauenswürdig eingestuft zu werden, und eine Version, die nicht startet oder eine falsche Versionsnummer meldet, wird vor dem Austausch verworfen.
Lokales Sperren, ab der Installation aktiv: ein Kernel-Timeout pro Eintrag, sodass keine Sperre bestehen bleibt, sobald der Agent nicht mehr vorhanden ist; Sperrdauern, die bei Wiederholungstätern von 30 Minuten auf maximal sieben Tage ansteigen; sowie eine Whitelist, die vor der Sperrung geschaltet ist. Eine Zeile, mode: log, schaltet es ab, ohne etwas anderes anzufassen.
Ein Betrieb, der ruhig bleibt: ein eigenes Protokoll mit eigener Rotation, eine E-Mail pro Zustand statt einer pro Ereignis, mit Abkühlphase und Entwarnung, und eine Festplattengrenze, unterhalb derer er das Melden einstellt und weiter erkennt und blockt.
Ein Testlauf über Ihre echten Protokolle, der nichts meldet, nichts sperrt und nichts außerhalb Ihres Terminals schreibt, sodass Sie den Agenten an Ihrem eigenen Datenverkehr prüfen können, bevor Sie ihm ein Paket anvertrauen.
Die Exit-Codes 0, 1 und 2, damit status ohne Wrapper als Monitoring-Check funktioniert.
Jeder Detektor ist eine Regeldatei, die Sie lesen, überschreiben und erweitern können. Ein Muster entscheidet, ob eine Zeile getroffen wird, ein separater Block gibt an, an welcher Stelle in dieser Zeile sich die Adresse befindet, und jede Regel enthält eigene Beispiele, darunter eines mit einer Scheinadresse im Feld des Angreifers; all dies wird beim Laden der Datei überprüft. Eine von Ihnen selbst erstellte Regel sperrt in den ersten 24 Stunden und meldet erst danach, und eine Regel, deren Schwellenwert von Adressen auf Ihrer eigenen Whitelist erreicht wird, stellt das Melden von selbst ein.
Gruppensperren für Ihre ganze Flotte. Ein Schlüssel gehört zu einer Gruppe in Ihrem Konto, verwaltet unter „Gruppen“ ab dem Professional-Tarif, und jede Adresse, die ein Mitglied meldet, wird für alle anderen Mitglieder der Gruppe für das Gruppenfenster, standardmäßig 24 Stunden, auf jedem Port in einem eigenen Kernel-Set verworfen. Einträge und Ausnahmen können manuell im Portal hinzugefügt werden; die eigenen Adressen eines Mitglieds erscheinen niemals auf der Liste, und ein signierter Webhook pro Sperrereignis informiert Ihre eigenen Tools, bleibt die Antwort aus, wird dreimal wiederholt. Ein Schlüssel, der keiner Gruppe angehört, verhält sich genau wie zuvor.
Port-Scan-Erkennung aus dem Kernel. Eine Firewall Rule hinter den Listen protokolliert SYN-Pakete an einen Port, auf dem dieser Host nicht lauscht, höchstens zehn pro Minute, und die Scan-Quelle liest diese Zeilen aus dem Journal oder, wo es keines gibt, aus kern.log. Zehn Sondierungen innerhalb von zehn Minuten von einer Adresse sind ein Scan: gesperrt wie jeder andere Fund und unter der Kategorie Port Scan gemeldet. Die lauschenden Ports werden bei jeder Synchronisierung gelesen, und die Regel fragt zusätzlich den Kernel, ob in diesem Moment ein Socket auf dem Port lauscht. Ein von Ihnen gestarteter Dienst ist damit nie ein Scan-Ziel, ebenso wenig der Passivbereich eines laufenden FTP-Servers.
Die Reputation Ihrer eigenen Adresse. Bei jedem Durchlauf wird überprüft, ob die Adresse, von der aus dieser Host Meldungen übermittelt, selbst in der Community-Datenbank enthalten ist. status warnt mit der Konfidenz, der Zahl der Reports und der Seite zum Delisting, sodass ein kompromittierter Rechner oder eine gemeinsam genutzte Adresse nicht unbemerkt bleibt. Die Warnung wird beim ersten Durchlauf nach dem Delisting zurückgesetzt.

Dokumentation zum Linux-Agenten Blockierung auf Netzwerkebene Threat Categories Preise anzeigen Installationsbeispiele

Ein Befehl, als root

# At a terminal: it shows the terms of use and takes a yes, then
# asks for your key, then three short questions, and Enter takes the
# safe answer every time.
curl -fsSL https://reportedip.com/agent/install.sh | sh

# For automation, and for fifty hosts: nothing is asked, the terms
# are accepted up front.
curl -fsSL https://reportedip.com/agent/install.sh | REPORTEDIP_ACCEPT_TERMS=1 REPORTEDIP_KEY="YOUR_API_KEY" sh

Das Erste, was das Skript zeigt, sind die Nutzungsbedingungen, und es braucht ein yes, bevor es irgendetwas lädt. Es prüft, dass es als root läuft, dass die Plattform Linux ist, dass die Architektur amd64 oder arm64 heißt und dass ein Prüfsummenwerkzeug vorhanden ist. Dann lädt es mit Ihrem Schlüssel den Build für Ihre Architektur, prüft ihn gegen SHA256SUMS und installiert ihn nach /usr/local/bin. Von dort ermittelt die Einrichtung, welche Dienste laufen, welche Ports lauschen und wo diese Distribution ihre Logs ablegt, und schreibt die Konfiguration selbst. Nehmen Sie die zweite Form immer dann, wenn ein Skript das hier ausführt, denn sie fragt nichts und braucht kein Terminal.

Der erste Sync baut die Regeln

reportedip-agent sync

Die Installation rührt keine Firewall-Regel an: keine Kette, kein Set, kein Sprung. Erst dieser Lauf legt alles an und lädt die fünf Listen je Dienst, und darum endet der Installer mit dem Hinweis, ihn auszuführen. Bis dahin ist der Host genau so, wie er war, und eine Installation, gegen die Sie sich entscheiden, kostet ein rm von zwei Verzeichnissen.

Nachsehen, dass es lief, bevor etwas verworfen wird

reportedip-agent status
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent rules list

„status“ gibt die Anzahl der Einträge pro Liste, den Status der Kette, die Whitelist und den Lizenzstatus dieses Hosts aus, sodass Sie auf einem einzigen Bildschirm erkennen können, ob die Installation erfolgreich war. „doctor“ zeigt an, was dieser Host mitbringt und was fehlt, und nimmt keine Änderungen vor: keine Datei, keine Regel, kein Set. „test“ führt die Detektoren anhand eines echten Protokolls aus, einschließlich gzip-komprimierter Dateien, und gibt an, welche Adresse wann welchen Schwellenwert überschritten hätte, ohne dabei Meldungen zu erstellen oder Sperren zu verhängen. rules list zeigt jeden Detektor als die Datei, die er ist, mit der Ebene, aus der er stammt, und ob er aktiv ist.

Dieser Host verwirft ab seinem ersten Sync, denn genau das schreibt die Installation. Antworten Sie log, wenn Sie erst eine Woche lesen wollen, was abgeschnitten worden wäre. Die Dokumentation geht dieselbe Installation vollständig durch: jedes Flag, jeden Konfigurationsschlüssel und die feineren Fragen, die der schnelle Weg überspringt.

Sperrt der Agent versehentlich einen meiner Kunden?

Dem stehen vier Dinge entgegen, und die ersten drei lassen sich nicht abschalten. Private Adressbereiche, Loopback, die eigenen Adressen dieses Servers und die SSH-Adresse, von der die Installation kam, werden niemals gemeldet und niemals geblockt. Ihre eigene Whitelist greift vor jeder Sperrung. Die Liste ist bewertet, und den Schwellenwert wählen Sie: Bei Confidence 75 hat ein lizenzierter Server am 29. September 2026 12.545 Adressen erhalten, bei Confidence 90 waren es 4.173. Der Host verwirft ab dem ersten Sync, und wenn Sie das erst eine Woche lang lesen wollen, antworten Sie bei der Installation log statt drop.

Wie viel Arbeit ist die Einrichtung auf einem Server mit hundert Websites?

Ein Befehl. Der Installer prüft, welche Dienste laufen, welche Ports lauschen und wo diese Distribution ihre Protokolle ablegt, und schreibt die Konfiguration dann selbst. Auf einem Produktions-Hosting-Host waren das 196 Protokolle virtueller Hosts, abgedeckt von 62 Zeilen, mit einem Schwellenwert pro Quelle statt eines einzigen globalen Werts. Es gibt keine Erfassungsregel, die Sie pro Dienst schreiben müssten, und keine, die Sie pflegen müssten, wenn eine Website hinzukommt, weil die Pfade über Globs erfasst werden.

Was sendet der Agent an uns?

Die Adresse, die IDs der Threat Categories und ein generierter Satz. Niemals eine Protokollzeile, ein Benutzername, ein Anfragetext, ein User-Agent oder eine URL. Ein Server identifiziert sich über eine zufällige Install-Id, die bei der Installation erstellt wird, und nicht über seinen Namen.

Was geschieht auf einem Server ohne Lizenz?

Lediglich der Download des Feeds wird unterbrochen. Die bereits im Kernel vorhandene Liste bleibt bestehen und blockiert weiterhin; die lokale Erkennung und die lokale Sperrung laufen weiter, die Reports werden weiterhin erstellt und der Agent aktualisiert sich weiterhin. Ein Server wird niemals aufgrund einer offenen Rechnung ungeschützt.

Was kostet ein zweiter Server?

Jede weitere Lizenz kostet 4,90 € pro Monat oder 49 € pro Jahr, inkl. MwSt., wobei der Preis pro Lizenz mit steigender Anzahl sinkt: 3,90 € ab fünf Lizenzen, 2,90 € ab zehn, 1,90 € ab fünfundzwanzig und 1,40 € ab fünfzig. Die erreichte Stufe gilt für jede Lizenz, nicht nur für die darüber liegenden. Ohne Lizenz läuft der Agent auch im Free-Tarif: Er erkennt und blockiert lokal im vollen Umfang und meldet, was er findet. Nur der Community-Feed braucht eine Serverlizenz; Professional enthält eine, Business drei.

Wird ein Server auf meine Domains angerechnet?

Nein. Server bilden einen eigenen Pool und werden getrennt von den Domänen des Hive-Plugins gezählt. Der „Business“-Volumenmultiplikator erhöht zwar die Anzahl der Domänen, nicht jedoch die Anzahl der enthaltenen Server.

Wie aktuell ist die Liste auf meinem Server?

Auf einem lizenzierten Server des Professional-Tarifs aktualisiert der Agent die Daten alle 15 Minuten und übernimmt alle Einträge mit einem Confidence-Wert von 75 oder höher. Da es sich um eine bedingte Anfrage handelt, antwortet eine Liste, die sich nicht geändert hat, mit einem 304-Status und überträgt keine Daten, genau das macht ein kurzes Intervall kostengünstig. Der Austausch in die Kernel-Sets erfolgt atomar, sodass zu keinem Zeitpunkt ein Set leer ist. Mit dem Tarif werden die Aktualität und die Tiefe des Feeds erworben; lokale Erkennung, lokale Blockierung und die Reports hängen nicht davon ab.

Kann ich die Blocklist behalten, die ich schon nutze?

Ja. Der Agent schreibt immer nur seine eigenen Sets und seine eigene Kette und fasst niemals eine Regel oder ein Set an, das er nicht selbst angelegt hat. Eine andere Liste, eine bereits vorhandene Firewall-Installation oder eine handgeschriebene Kette läuft also daneben weiter. Wenn Sie sehen möchten, was der Agent ergänzen würde, bevor Sie sich festlegen, lassen Sie ihn im Log-Modus laufen und vergleichen Sie.

Kann ich meine eigenen Erkennungsregeln erstellen?

Ja, und jeder mitgelieferte Detektor ist schon eine: eine YAML-Datei mit einem Muster, einem Block, der angibt, an welcher Stelle in der Zeile sich die Adresse befindet, einem Schwellenwert und eigenen Beispielen. Eine von Ihnen erstellte Datei unter /etc/reportedip-agent/rules.d/ fügt eine Regel hinzu oder überschreibt eine mitgelieferte Regel Feld für Feld, und der Agent übernimmt diese innerhalb einer Minute. reportedip-agent rules check nennt jeden Fehler mit Datei und Zeile, bevor der Daemon ihn sieht, und test mit --rule lässt eine Regel gegen ein echtes Protokoll laufen. Drei Maßnahmen schützen Sie vor einer Regel, die das falsche Feld ausliest: Die Beispiele werden bei jedem Laden der Datei überprüft, eine neue Regel von Ihnen sperrt Adressen in den ersten 24 Stunden, meldet sie jedoch nicht, und eine Regel, deren Schwellenwert von Adressen auf Ihrer eigenen Whitelist erreicht wird, stellt die Meldung automatisch ein.

WordPress-Plugin · Kostenlos

ReportedIP Hive

WordPress-Sicherheit in Echtzeit mit 16 Erkennungssensoren, einer Web Application Firewall, vier 2FA-Verfahren und einem opt-in-basierten Community Network. Für immer kostenlos und Open Source.

Plugin-Übersicht

REST Threat Intelligence · Free-Tarif

Public API

Die Reputations-Engine, die hinter allem steht. IP-Adressen abfragen, Reports übermitteln, die Blacklist abrufen und Massenvorgänge aus beliebigen Programmiersprachen heraus ausführen, aus Ihrem SIEM, Ihrer Firewall oder Ihrem Hosting-Panel.

API Reference

Feed zum Herunterladen · Kostenlos

Blacklist Feed

Eine von der Community gepflegte Blacklist, deren Bewertung automatisch auf der Grundlage von Echtzeit-Reports erfolgt. Im Klartext, als JSON und CSV verfügbar, kompatibel mit iptables, nftables, nginx oder jedem anderen Programm, das Blocklisten verwendet.

Dokumente zur Blacklist

Live-DNSBL-Add-on · aus dem PRO-Paket

DNS / RBL Zone

Stellen Sie eine DNS-Abfrage, anstatt eine Liste herunterzuladen: Ihr Mailserver fragt die Adresse in Echtzeit ab, genauso wie er bereits Spamhaus abfragt. Keine Importe, immer auf dem neuesten Stand.

RBL Zone Docs

DNS-Diagnose · Kostenlos

DNS Checker

Diagnose des Domain-Zustands anhand von 76 Resolvern auf 6 Kontinenten. Überprüfen Sie SPF, DKIM, DMARC und DNSSEC, führen Sie DNSBL-Abfragen durch und verfolgen Sie die Ausbreitung während Migrationen.

Öffnen Sie das Tool

PTR-Prüfung · Kostenlos

Reverse DNS Lookup

Führen Sie eine Auflösung des PTR-Eintrags einer IPv4- oder IPv6-Adresse durch und prüfen Sie, ob die Auflösung zurückgeführt werden kann. Ein PTR-Eintrag, der von niemandem bestätigt wird, ist der häufigste Grund dafür, dass ein Mailserver bereits am Eingang abgewiesen wird.

Öffnen Sie das Tool