Tausende von IP-Adressen, die heute Morgen andere Server angegriffen haben, werden bereits in ipset oder nftables blockiert, bevor ihr erster Angriff Sie erreicht, und jeder Angriff in Ihren eigenen Protokollen wird erkannt und gemeldet. Eine einzige statische Binärdatei für Hosting-Anbieter und Administratoren, die Web-, E-Mail-, FTP- und DNS-Dienste auf denselben Rechnern betreiben. Ab dem Pro-Tarif ist ein Server enthalten.
14
Log-Quelltypen, die der Installer selbst erkennt: SSH, Web, Mail, FTP, DNS, das Control Panel und der Kernel, jeder mit eigener Schwelle.
15 min
zwischen zwei Aktualisierungen der Community-Liste auf einem lizenzierten Server. Eine unveränderte Liste kostet ein 304 und keine Übertragung.
1 Binary
statisch, für amd64 und arm64. Kein cgo, kein Interpreter und keine Laufzeitumgebung auf dem Host, die gepatcht werden müsste.
Null
an uns gesendete Log-Zeilen, Payloads und User-Agents. Ein Bericht besteht aus einer Adresse, Kategorie-IDs und einem generierten Satz.
Eine Maschine oder ein ganzes Rack: Der Agent installiert sich ohne eine einzige Rückfrage, findet seine Logs selbst und hält sich auf amd64 wie auf arm64 von allein aktuell.
Webhoster und Reseller
Web, Mail, FTP, DNS und das Panel auf einer Maschine. Der Installer liest die Konfiguration des Webservers und findet jedes Vhost-Log selbst, jede Quelle bekommt ihren eigenen Schwellenwert, und eine Website, die morgen dazukommt, ist abgedeckt, ohne dass Sie die Konfiguration anfassen. Vom Datenverkehr Ihrer Kunden verlässt nichts die Maschine.
Erkennung im DetailRechenzentren und Managed Server
Ein unbeaufsichtigter Befehl für Ansible oder cloud-init, signierte Selbst-Updates, Gruppensperren, damit eine Adresse, die ein Rack trifft, auf jedem anderen verworfen wird, und status als JSON mit offiziellem Zabbix-Template für das NOC. Die Mengenstaffel geht bis 1,40 € je Server hinunter.
Rollout-BeispieleAgenturen und Admins
Ein Server ist in Pro enthalten. Installieren, den ersten Sync ausführen, status lesen: In wenigen Minuten ist die Maschine im Netzwerk, und ein Testlauf über Ihre echten Logs zeigt, was sie gesperrt hätte, bevor sie ein einziges Paket verwirft.
InstallationsanleitungEin Hosting-Server ist nicht ein Dienst. Er ist Web, Mail, FTP, DNS und ein Control Panel auf derselben Maschine, die zusammen einige Hundert Protokolldateien schreiben, und jede Angriffsart landet in einer anderen davon. Das alles von Hand zu beobachten ist ein Arbeitstag, und die Grenze bleibt trotzdem bestehen: Eine Sperrliste aus den eigenen Protokollen enthält nur das, was Sie zuerst gefunden hat. So lernt jeder Server im Internet dieselbe Lektion separat, auf eigene Kosten, Versuch für Versuch.
Dieselbe Maschine, dieselben Logs, sieben Situationen aus einer normalen Hosting-Woche. Der Unterschied ist, ob dieser Server als einziger daraus lernt.
| Die Situation | Ohne den Agent | Mit dem Agent |
|---|---|---|
| Eine Adresse hat heute Morgen vierzig andere Hosts angegriffen und klopft jetzt bei Ihnen an | Sie bekommt ihre ersten Versuche durch, bis Ihre eigene Schwelle greift. | Im Kernel verworfen, bevor ihr erstes Paket ankommt. |
| Brute Force gegen WordPress-Logins, verteilt über 300 Vhosts | Jede Website sieht ein paar Versuche, und keiner davon sieht nach einem Angriff aus. | Über alle Vhost-Logs der Maschine gezählt, einmal gesperrt und einmal gemeldet. |
| Password Spraying gegen Ihre Postfächer aus einem Pool frischer Adressen | Eine Adresse nach der anderen gelernt, aus Ihren eigenen Fehlanmeldungen. | Einmal gelernt, von dem, der zuerst getroffen wurde, und nur auf Ihren Mail-Ports verworfen. |
| Der Angreifer zieht von Server 1 weiter zu Server 2 | Server 2 fängt wieder bei null an. | Mit einer Gruppe verwirft Server 2 ihn in dem Moment, in dem Server 1 ihn meldet. |
| Ein neuer Server kommt ins Rack | Leere Sperrliste, bis er oft genug angegriffen wurde, um zu lernen. | Tausende bekannte Angreifer im Kernel nach dem ersten Sync. |
| Angriffe, die nur diese Maschine sieht | Die eigenen Logs sind die einzige Quelle, also bleiben sie vollständig. | Dieselben vierzehn Log-Quellen, dazu wird jeder Fund gemeldet, damit der nächste Betreiber verschont bleibt. |
| Was das Lernen kostet | Einen erfolgreichen Versuch je Lektion, bezahlt mit dem Datenverkehr Ihrer Kunden. | Von 4,90 € bis hinunter zu 1,40 € je Server und Monat, inkl. MwSt. Ein Server ist in Pro enthalten. |
Erkennung, lokales Blocken und Melden laufen in jedem Tarif, auch mit einem kostenlosen Key. Eine Server-Lizenz bringt den Community-Feed in den Kernel, der Pro-Tarif die Gruppensperren über Ihre Flotte. Nichts auf dieser Liste ist ein Köder für eine Funktion, die sich später als gesperrt herausstellt.
Die Markierung nennt, was eine Funktion voraussetzt. Eine Server-Lizenz ist in Pro enthalten, drei in Business.
Adressen, die heute Morgen andere Server angegriffen haben, werden verworfen, bevor ihr erstes Paket Ihren erreicht. Das ist der Teil, den eine Server-Lizenz kauft. Alles weiter unten läuft auch ohne.
7Im Detail Blocken im Detail Lizenzen
Ein Hosting-Server schreibt jede Angriffsart in ein anderes Log. Der Agent liest sie alle, jede Quelle mit eigenem Schwellenwert, und der Installer findet sie, ohne dass Sie eine einzige Regel von Hand schreiben.
15Im Detail Erkennung und Regeln Konfiguration
Ein Fund wird lokal gesperrt, an das Netzwerk gemeldet und blockt nie die, die durchkommen sollen. Jeden Schritt können Sie beobachten, bevor Sie ihm vertrauen.
9Im Detail Lokales Blocken
Kein Erkenner ist im Binary versteckt. Jeder ist eine YAML-Datei mit einem Muster, der Position der Adresse und eigenen Beispielen, und eine Regel von Ihnen steht neben den mitgelieferten.
8Im Detail Regeln schreiben
Gebaut für den Betreiber mit fünfzig Servern genauso wie für den mit einer einzigen Maschine. Was ein Host lernt, können die anderen nutzen, und nichts braucht einen eingeloggten Menschen, um aktuell zu bleiben.
8Im Detail Rollout-Beispiele Gruppen
Ein Agent auf fünfzig Servern ist nur dann günstig, wenn er still bleibt. Er meldet seinen Zustand an das Monitoring, das Sie ohnehin betreiben, und schickt eine Mail, wenn sich etwas ändert, nicht eine je Ereignis.
8Im Detail Monitoring Betrieb
Ein Hoster steht für den Datenverkehr jedes Kunden auf der Maschine ein. Der Agent ist so gebaut, dass diese Antwort kurz bleibt.
6Im Detail Was die Maschine verlässt Installation
Pro enthält einen Server, Business drei. Jeder weitere Server ist eine Lizenz, und die erreichte Stufe gilt für jede gebuchte Lizenz, nicht nur für die darüber. Alle Preise inkl. MwSt.
| Gebuchte Lizenzen | Je Server und Monat | Je Server und Jahr | Bei jährlicher Zahlung, je Monat |
|---|---|---|---|
| 1 bis 4 | 4,90 € | 49,00 € | 4,08 € |
| 5 bis 9 | 3,90 € | 39,00 € | 3,25 € |
| 10 bis 24 | 2,90 € | 29,00 € | 2,42 € |
| 25 bis 49 | 1,90 € | 19,00 € | 1,58 € |
| ab 50 | 1,40 € | 14,00 € | 1,17 € |
Was eine Flotte im Monat kostet, Tarif inklusive
Bis zu 200 Lizenzen buchen Sie im Portal, darüber wird der Preis in einem Enterprise-Vertrag festgelegt. Ein Server ohne Lizenz erkennt, blockt und meldet weiter, nur der Community-Feed pausiert.
Für wen ist es gedacht?
Hoster, Agenturen und Administratoren, die den vollen Linux-Stack betreiben: Web, Mail, FTP, DNS und ein Control Panel auf denselben Rechnern, mit einem Server oder fünfzig.
# At a terminal: it shows the terms of use and takes a yes, then
# asks for your key, then three short questions, and Enter takes the
# safe answer every time.
curl -fsSL https://reportedip.com/agent/install.sh | sh
# For automation, and for fifty hosts: nothing is asked, the terms
# are accepted up front.
curl -fsSL https://reportedip.com/agent/install.sh | REPORTEDIP_ACCEPT_TERMS=1 REPORTEDIP_KEY="YOUR_API_KEY" shDas Erste, was das Skript zeigt, sind die Nutzungsbedingungen, und es braucht ein yes, bevor es irgendetwas lädt. Es prüft, dass es als root läuft, dass die Plattform Linux ist, dass die Architektur amd64 oder arm64 heißt und dass ein Prüfsummenwerkzeug vorhanden ist. Dann lädt es mit Ihrem Schlüssel den Build für Ihre Architektur, prüft ihn gegen SHA256SUMS und installiert ihn nach /usr/local/bin. Von dort ermittelt die Einrichtung, welche Dienste laufen, welche Ports lauschen und wo diese Distribution ihre Logs ablegt, und schreibt die Konfiguration selbst. Nehmen Sie die zweite Form immer dann, wenn ein Skript das hier ausführt, denn sie fragt nichts und braucht kein Terminal.
reportedip-agent syncDie Installation rührt keine Firewall-Regel an: keine Kette, kein Set, kein Sprung. Erst dieser Lauf legt alles an und lädt die fünf Listen je Dienst, und darum endet der Installer mit dem Hinweis, ihn auszuführen. Bis dahin ist der Host genau so, wie er war, und eine Installation, gegen die Sie sich entscheiden, kostet ein rm von zwei Verzeichnissen.
reportedip-agent status
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent rules list„status“ gibt die Anzahl der Einträge pro Liste, den Status der Kette, die Whitelist und den Lizenzstatus dieses Hosts aus, sodass Sie auf einem einzigen Bildschirm erkennen können, ob die Installation erfolgreich war. „doctor“ zeigt an, was dieser Host mitbringt und was fehlt, und nimmt keine Änderungen vor: keine Datei, keine Regel, kein Set. „test“ führt die Detektoren anhand eines echten Protokolls aus, einschließlich gzip-komprimierter Dateien, und gibt an, welche Adresse wann welchen Schwellenwert überschritten hätte, ohne dabei Meldungen zu erstellen oder Sperren zu verhängen. rules list zeigt jeden Detektor als die Datei, die er ist, mit der Ebene, aus der er stammt, und ob er aktiv ist.
Dieser Host verwirft ab seinem ersten Sync, denn genau das schreibt die Installation. Antworten Sie log, wenn Sie erst eine Woche lesen wollen, was abgeschnitten worden wäre. Die Dokumentation geht dieselbe Installation vollständig durch: jedes Flag, jeden Konfigurationsschlüssel und die feineren Fragen, die der schnelle Weg überspringt.
Release Notes, Anleitungen und Reports, die neuesten zuerst.
Dem stehen vier Dinge entgegen, und die ersten drei lassen sich nicht abschalten. Private Adressbereiche, Loopback, die eigenen Adressen dieses Servers und die SSH-Adresse, von der die Installation kam, werden niemals gemeldet und niemals geblockt. Ihre eigene Whitelist greift vor jeder Sperrung. Die Liste ist bewertet, und den Schwellenwert wählen Sie: ab 75 auf einem lizenzierten Server, oder höher, wenn nur die sichersten Einträge bleiben sollen. Der Host verwirft ab dem ersten Sync, und wenn Sie das erst eine Woche lang lesen wollen, antworten Sie bei der Installation log statt drop.
Ein Befehl. Der Installer prüft, welche Dienste laufen, welche Ports lauschen und wo diese Distribution ihre Protokolle ablegt, und schreibt die Konfiguration dann selbst, mit einem Schwellenwert pro Quelle statt eines einzigen globalen Werts. Einige Dutzend Zeilen Konfiguration decken Hunderte Logs virtueller Hosts ab. Es gibt keine Erfassungsregel, die Sie pro Dienst schreiben müssten, und keine, die Sie pflegen müssten, wenn eine Website hinzukommt, weil die Pfade über Globs erfasst werden.
Die Adresse, die IDs der Threat Categories und ein generierter Satz. Niemals eine Protokollzeile, ein Benutzername, ein Anfragetext, ein User-Agent oder eine URL. Ein Server identifiziert sich über eine zufällige Install-Id, die bei der Installation erstellt wird, und nicht über seinen Namen.
Lediglich der Download des Feeds wird unterbrochen. Die bereits im Kernel vorhandene Liste bleibt bestehen und blockiert weiterhin; die lokale Erkennung und die lokale Sperrung laufen weiter, die Reports werden weiterhin erstellt und der Agent aktualisiert sich weiterhin. Ein Server wird niemals aufgrund einer offenen Rechnung ungeschützt.
Jede weitere Lizenz kostet 4,90 € pro Monat oder 49 € pro Jahr, inkl. MwSt., wobei der Preis pro Lizenz mit steigender Anzahl sinkt: 3,90 € ab fünf Lizenzen, 2,90 € ab zehn, 1,90 € ab fünfundzwanzig und 1,40 € ab fünfzig. Die erreichte Stufe gilt für jede Lizenz, nicht nur für die darüber liegenden. Ohne Lizenz läuft der Agent auch im Free-Tarif: Er erkennt und blockiert lokal im vollen Umfang und meldet, was er findet. Nur der Community-Feed braucht eine Serverlizenz; Pro enthält eine, Business drei.
Nein. Server bilden einen eigenen Pool und werden getrennt von den Domänen des Hive-Plugins gezählt. Der „Business“-Volumenmultiplikator erhöht zwar die Anzahl der Domänen, nicht jedoch die Anzahl der enthaltenen Server.
Auf einem lizenzierten Server des Pro-Tarifs aktualisiert der Agent die Daten alle 15 Minuten und übernimmt alle Einträge mit einem Confidence-Wert von 75 oder höher. Da es sich um eine bedingte Anfrage handelt, antwortet eine Liste, die sich nicht geändert hat, mit einem 304-Status und überträgt keine Daten, genau das macht ein kurzes Intervall kostengünstig. Der Austausch in die Kernel-Sets erfolgt atomar, sodass zu keinem Zeitpunkt ein Set leer ist. Mit dem Tarif werden die Aktualität und die Tiefe des Feeds erworben; lokale Erkennung, lokale Blockierung und die Reports hängen nicht davon ab.
Ja. Der Agent schreibt immer nur seine eigenen Sets und seine eigene Kette und fasst niemals eine Regel oder ein Set an, das er nicht selbst angelegt hat. Eine andere Liste, eine bereits vorhandene Firewall-Installation oder eine handgeschriebene Kette läuft also daneben weiter. Wenn Sie sehen möchten, was der Agent ergänzen würde, bevor Sie sich festlegen, lassen Sie ihn im Log-Modus laufen und vergleichen Sie.
Ja, und jeder mitgelieferte Detektor ist schon eine: eine YAML-Datei mit einem Muster, einem Block, der angibt, an welcher Stelle in der Zeile sich die Adresse befindet, einem Schwellenwert und eigenen Beispielen. Eine von Ihnen erstellte Datei unter /etc/reportedip-agent/rules.d/ fügt eine Regel hinzu oder überschreibt eine mitgelieferte Regel Feld für Feld, und der Agent übernimmt diese innerhalb einer Minute. reportedip-agent rules check nennt jeden Fehler mit Datei und Zeile, bevor der Daemon ihn sieht, und test mit --rule lässt eine Regel gegen ein echtes Protokoll laufen. Drei Maßnahmen schützen Sie vor einer Regel, die das falsche Feld ausliest: Die Beispiele werden bei jedem Laden der Datei überprüft, eine neue Regel von Ihnen sperrt Adressen in den ersten 24 Stunden, meldet sie jedoch nicht, und eine Regel, deren Schwellenwert von Adressen auf Ihrer eigenen Whitelist erreicht wird, stellt die Meldung automatisch ein.
Mit demselben Befehl, den Sie von Hand eingeben würden, nur mit den Antworten als Umgebungsvariablen: REPORTEDIP_ACCEPT_TERMS=1 und REPORTEDIP_KEY überspringen jede Frage, der Installer braucht also kein Terminal. Die Dokumentation enthält fertige Beispiele für Ansible, cloud-init, Hosts mit Control Panel sowie Mail- und Datenbankserver. Danach hält sich die Flotte selbst aktuell: Jeder Host sucht alle sechs Stunden nach einem neuen Release und installiert es erst, nachdem die Ed25519-Signatur auf genau diesem Host geprüft wurde.
status liefert Exit-Code 0, wenn der Host gesund ist, 1, wenn er eingeschränkt läuft, etwa bei einer leeren Liste, einer fehlenden Kette oder einem gestoppten Daemon, und 2, wenn ein Mensch auf die Konfiguration schauen muss. Nagios, Icinga und Checkmk können ihn also ohne Wrapper ausführen. status --json gibt dasselbe Urteil als ein Dokument aus, mit einem Grund je Problem sowie Zählern und Altersangaben je Abschnitt, ohne Anfrage an unsere API. Für Zabbix 7 gibt es ein offizielles Template, und die Monitoring-Anleitung behandelt auch Prometheus.
Ja, mit einer Gruppe. Jeder Key in Ihrem Konto kann einer Gruppe beitreten, und jede Adresse, die ein Mitglied meldet, wird auf allen anderen Mitgliedern für das Gruppenfenster verworfen, standardmäßig 24 Stunden, auf jedem Port. Pro enthält eine Gruppe mit zehn Keys, Business drei Gruppen mit je fünfzig Keys. Eine Gruppe hat ihre eigene Whitelist im Portal, und ein signierter Webhook informiert Ihre eigenen Tools über jede Sperre.
Eine Meldung enthält die angreifende Adresse, die IDs der Bedrohungskategorien und einen Satz, den der Agent erzeugt. Keine Logzeile, kein Benutzername, keine URL, kein Payload und kein User-Agent verlässt die Maschine, über Ihre Kunden und deren Besucher wird also nichts übertragen. API und Feed laufen auf Infrastruktur in der EU, betrieben aus Deutschland, und ein Access-Log mit anonymisierten Adressen lässt der Installer aus, damit nie eine Netzadresse als Angreifer gemeldet wird.
Derselbe Datensatz, unterschiedliche Darstellung.
WordPress-Plugin · Kostenlos
WordPress-Sicherheit in Echtzeit mit 16 Erkennungssensoren, einer Web Application Firewall, vier 2FA-Verfahren und einem opt-in-basierten Community Network. Für immer kostenlos und Open Source.
REST Threat Intelligence · Free-Tarif
Die Reputations-Engine, die hinter allem steht. IP-Adressen abfragen, Reports übermitteln, die Blacklist abrufen und Massenvorgänge aus beliebigen Programmiersprachen heraus ausführen, aus Ihrem SIEM, Ihrer Firewall oder Ihrem Hosting-Panel.
Feed zum Herunterladen · Kostenlos
Eine von der Community gepflegte Blacklist, deren Bewertung automatisch auf der Grundlage von Echtzeit-Reports erfolgt. Im Klartext, als JSON und CSV verfügbar, kompatibel mit iptables, nftables, nginx oder jedem anderen Programm, das Blocklisten verwendet.
Live-DNSBL-Add-on · aus dem Pro-Paket
Stellen Sie eine DNS-Abfrage, anstatt eine Liste herunterzuladen: Ihr Mailserver fragt die Adresse in Echtzeit ab, genauso wie er bereits Spamhaus abfragt. Keine Importe, immer auf dem neuesten Stand.
DNS-Diagnose · Kostenlos
Domain-Diagnose mit rund 100 Resolvern in mehr als 50 Ländern. Prüfen Sie SPF, DKIM, DMARC und DNSSEC, fragen Sie DNSBLs ab und verfolgen Sie bei einem Umzug, wie sich neue Einträge verbreiten.
PTR-Prüfung · Kostenlos
Führen Sie eine Auflösung des PTR-Eintrags einer IPv4- oder IPv6-Adresse durch und prüfen Sie, ob die Auflösung zurückgeführt werden kann. Ein PTR-Eintrag, der von niemandem bestätigt wird, ist der häufigste Grund dafür, dass ein Mailserver bereits am Eingang abgewiesen wird.
Ein Server ab Pro enthalten, drei mit Business. Weitere Server ab 4,90 € pro Monat, inkl. MwSt.
