Was ist IP-Reputation?

Die IP-Reputation ist eine Einstufung der Wahrscheinlichkeit, mit der eine IP-Adresse mit böswilligen Aktivitäten – Botnetze, Phishing, Spam, Scans oder Webangriffe – in Verbindung steht. Diese Einstufung basiert auf kontinuierlich aktualisierten Bedrohungsdaten. Sicherheitsrichtlinien nutzen diese Einstufung zusammen mit der IP-Geolokalisierung, um Datenverkehr zuzulassen, Warnungen auszugeben oder ihn zu blockieren, bevor er das Netzwerk erreicht.

Die wichtigsten Erkenntnisse

• Die IP-Reputation kennzeichnet Adressen, die mit Botnetzen, Phishing, Spam oder Scans in Verbindung stehen.
• Versa Networks aktualisiert seinen IP-Reputations-Feed täglich und in Echtzeit.
• Neun vordefinierte Kategorien steuern, ob für jede Adresse Aktionen zugelassen, Warnungen ausgegeben oder Aktionen blockiert werden.
• IP-Filterprofile kombinieren Reputationsdaten mit Geolokalisierung und Adresslisten.
• Die URL-Reputation kann die IP-Reputation außer Kraft setzen, um die Sperrung von Shared-Hosting-Servern zu vermeiden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · IP-Reputation & Versa · Häufig gestellte Fragen

Warum ist die IP-Reputation wichtig?

Nicht jede Bedrohung erscheint in einem einzelnen Datenpaket als bösartig – ein Scanner-Host oder ein Command-and-Control-Server eines Botnetzes verhält sich auf Protokollebene oft normal, obwohl er aufgrund seiner Vorgeschichte als gefährlich eingestuft wird. Die IP-Reputation schließt diese Lücke: Sie gleicht den Datenverkehr mit einer ständig aktualisierten Liste von Adressen ab, bei denen Angriffe, Malware oder Betrug beobachtet wurden, und blockiert oder kennzeichnet Übereinstimmungen, bevor eine Sitzung sensible Anwendungen erreicht.

Dies ist wichtig, da dadurch bekannterweise schädlicher Datenverkehr kostengünstig und frühzeitig am Netzrand gestoppt wird, anstatt jede Sitzung einer tiefergehenden, kostspieligeren Überprüfung zu unterziehen. In Kombination mit Geolokalisierung ermöglicht dies, den Ursprungsort des Datenverkehrs in den Richtlinien zu berücksichtigen – was nützlich ist, wenn ein Unternehmen keine legitimen Geschäftsbeziehungen zu bestimmten Regionen unterhält. Da der Feed täglich und in Echtzeit aktualisiert wird, hält der Schutz mit sich schnell entwickelnden Bedrohungen Schritt, ohne dass die Sperrliste manuell gepflegt werden muss.

Was ist die IP-Reputation?

Die IP-Reputation ist neben FQDN-basierten Adressobjekten und extern bereitgestellten dynamischen Adressobjekten eine von mehreren Methoden, mit denen VOS-Geräte den Datenverkehr nach Adressen filtern. Anstatt einen Domänennamen aufzulösen, wird die Quell- oder Ziel-IP-Adresse mit einer Liste bekannter schädlicher Adressen abgeglichen, die unter Versa Networks geführt und täglich in Echtzeit aktualisiert wird.

Administratoren erstellen IP-Filterprofile, die auf vordefinierte Reputationskategorien verweisen und jeder Kategorie eine Durchsetzungsmaßnahme zuweisen: Zulassen, Warnung ausgeben, Paket verwerfen, Sitzung beenden, ablehnen oder eine benutzerdefinierte Aktion wie beispielsweise eine Umleitung zum Captive Portal. Profile können Reputationsdaten mit Geolokalisierungsregeln, Sperr- und Zulassungslisten sowie DNS-Reverse-Lookup-Prüfungen kombinieren und Übereinstimmungskriterien auf die Quelle, das Ziel oder beides anwenden. Ein Nachschlagewerkzeug in Director und Concerto zeigt die Reputation und den Standort einer Adresse an, bevor eine Regel erstellt wird.

Arten der IP-Reputation

VersaDer vordefinierte Reputations-Feed unterteilt Adressen in neun Kategorien, die als Bausteine für benutzerdefinierte IP-Filterprofile dienen. „Botnets“ umfasst die Command-and-Control-Infrastruktur sowie kompromittierte „Zombie“-Hosts. „Denial of Service“ kennzeichnet Quellen, die mit DoS- oder DDoS-Floods in Verbindung stehen. „Phishing“ umfasst Hosts, die betrügerische Websites bereitstellen, sowie Klick- und Spielbetrug. „Proxy“ identifiziert Adressen, die Proxy-Dienste bereitstellen und häufig dazu verwendet werden, die tatsächliche Herkunft einer Anfrage zu verschleiern. „Reputation“ ist eine allgemeine Kategorie für Malware-Zugehörigkeiten. „Scanners“ kennzeichnet Erkundungsaktivitäten: Port-Scans, Domain-Scans und Brute-Force-Angriffe auf Passwörter. „Spam sources“ umfasst über Proxys weitergeleiteten Spam und anomale SMTP-Aktivitäten. „Web attacks“ umfasst Cross-Site-Scripting, SQL- und iFrame-Injektionen sowie domänenübergreifende Angriffe. „Windows exploits“ kennzeichnet Quellen, die Malware, Shellcode und Würmer verbreiten. Eine ältere Kategorie namens „Network“ ist veraltet und wird nur aus Gründen der Abwärtskompatibilität beibehalten.

IP-Reputation & Versa

VOS-Geräte werden mit dem vordefinierten Reputation-Feed von Versaausgeliefert, sodass IP-Filterprofile sofort gegen Botnetze, Phishing, Scans und andere Kategorien wirken – unabhängig davon, ob das Profil einen Secure-Web-Gateway-Pfad schützt oder vor der Next-Gen-Firewall eingesetzt wird. Versa liefert zudem vorgefertigte Profile mit – „Block Bad Traffic“, „Block DoS“, „Block Scanners“, „Block Spam“ sowie das umfassende, von der „ Versa “ empfohlene Profil –, sodass Teams eine sinnvolle Basiskonfiguration aktivieren können, ohne diese selbst erstellen zu müssen.

Wenn Standardwerte nicht ausreichen, erstellen Administratoren benutzerdefinierte Profile, in denen sie Reputationsmaßnahmen mit Geolokalisierungsregeln, Sperr- und Zulassungslisten sowie Adress-Reverse-Lookup kombinieren. Mit der Option „URL-Reputation priorisieren“ kann die Vertrauenswürdigkeit auf URL-Ebene eine Sperre aufgrund der IP-Reputation außer Kraft setzen – dies ist nützlich, wenn eine legitime Website dieselbe Adresse wie eine markierte Website nutzt, beispielsweise hinter einem CDN. Director und Concerto bieten ein Tool zur Reputationsabfrage, mit dem sich die Klassifizierung und Geolokalisierung jeder beliebigen Adresse überprüfen lässt.

Häufig gestellte Fragen

Welche vordefinierten IP-Reputationskategorien bietet Versa an?

Neun Kategorien: Botnetze, Denial-of-Service-Angriffe, Phishing, Proxy, Reputation (allgemeine Malware-Zuordnung), Scanner, Spam-Quellen, Webangriffe und Windows-Exploits. Eine zehnte Kategorie, „Netzwerk“, ist veraltet und wird nur aus Gründen der Abwärtskompatibilität beibehalten. Administratoren können beim Erstellen eines IP-Filterprofils eine beliebige Kombination dieser Kategorien aktivieren.

Wie oft aktualisiert „ Versa “ seinen IP-Reputations-Feed?

Versa Der Feed wird sowohl täglich als auch in Echtzeit aktualisiert, sodass neu identifizierte Botnetz-Knoten, Phishing-Hosts und Scan-Quellen automatisch in die Durchsetzungsmaßnahmen einfließen, ohne dass ein Administrator die Sperrlisten manuell bearbeiten muss. VOS-Geräte greifen automatisch darauf zu, sobald ein Profil auf reputationsbasierte Maßnahmen verweist.

Können sich IP-Reputation und URL-Reputation widersprechen?

Ja. Eine Sperrung, die ausschließlich auf der IP-Reputation basiert, kann dazu führen, dass legitime Websites blockiert werden, die sich eine Adresse mit einer bösartigen Website teilen – was insbesondere bei CDNs häufig vorkommt. Die Einstellung „URL-Reputation priorisieren“ behebt dieses Problem, indem sie zulässt, dass eine vertrauenswürdige URL-Reputation eine Sperrung aufgrund der IP-Reputation außer Kraft setzt, wobei dies anhand eines konfigurierbaren Schwellenwerts für die Risikopriorität bewertet wird.

Welche Durchsetzungsmaßnahmen kann eine Sicherheitsrichtlinie auf der Grundlage der IP-Reputation anwenden?

Zu den Aktionen gehören „Zulassen“, „Warnung“ (zulassen und protokollieren), „Paket verwerfen“, „Sitzung beenden“ und „Ablehnen“ sowie benutzerdefinierte Aktionen wie eine Weiterleitung zum Captive Portal, eine Aufforderung zur Eingabe einer PIN oder eine Seite mit einer Begründung. Administratoren weisen jeder Reputationskategorie oder Geolokalisierungsregel in einem Profil eine bestimmte Aktion zu.

Kann ein Administrator die Reputation einer bestimmten IP-Adresse abfragen?

Ja. Director und Concerto verfügen über ein Tool zur Reputationsabfrage: Geben Sie eine Organisation und eine IP-Adresse ein, und die Benutzeroberfläche zeigt deren aktuelle Einstufung und geografischen Standort an – nützlich, um die Wirkung einer Regel vor oder nach der Bereitstellung zu überprüfen oder um den Datenverkehr zu untersuchen.

Mehr zum Thema IP-Reputation

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit dem Thema IP-Reputation beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.