Was auf eine Liste kommt und wie es wieder herausgeht.

Einträge verschwinden von selbst: Niemand muss daran denken, eine alte Adresse zu entfernen. Eine wiederkehrende Adresse wird erst nach einer neuen Sichtung wieder gelistet.

Jede Liste hat außerdem eine strengere -high-Version mit weniger Einträgen. Standardmäßig braucht sie mindestens 10 Sensoren, Sichtungen an drei verschiedenen Tagen und eine Prüfung gegen eine externe Reputationsquelle.

Formate

• Klartext, eine Adresse pro Zeile, auch als getrennte IPv4- und IPv6-Dateien.
• nftables-, ipset- und MikroTik-RouterOS-Skripte.
• CSV und JSON mit den Daten: erste Sichtung, letzte Sichtung und Ablaufdatum.
• STIX-2.1-Bundles für die ausgehenden Listen.
• Domain-Listen gibt es nur als Text, CSV und JSON.

Signiert mit minisign

Jede Datei hat eine .minisig-Signatur daneben, erstellt mit Ed25519-Schlüsseln. Der Schlüssel für die Listen ist vom Schlüssel getrennt, der Netzwerknachrichten signiert, sodass ein Leck des einen den anderen nicht fälschen kann. Der öffentliche Schlüssel steht in der README.txt neben den Listen. So prüfst du eine Datei:

minisign -Vm inbound.txt -P <public key>

Eine Firewall, die die einfache URL lädt, prüft keine Signaturen. Nutze einen geprüften Spiegel oder prüfe die Datei vorher selbst.

Eine Verteidigungshilfe, kein Urteil

Ein Listeneintrag ist eine sachliche Beobachtung, keine Anschuldigung gegen die Person, die die Adresse hält. Viele gelistete Geräte sind selbst kompromittiert, etwa ein Router oder ein NAS, das jemand anderes kontrolliert. Was du in deinem eigenen Netz blockierst, entscheidest du selbst.

Die Regeln

Dies sind Voreinstellungen. Der Hub kann sie ändern, die aktuellen Werte stehen unter suckerpot-hub.selfhostr.io/v1/info.

• Mindestens fünf Sensoren haben die Adresse gesehen. Jeder wurde vor mindestens 14 Tagen angemeldet und hat an mindestens 7 der letzten 14 Tage gemeldet.
• Die Sichtungen stammen von mindestens zwei verschiedenen Tagen oder von mindestens zehn Sensoren.
• Eine Anmeldewoche kann nicht mehr als die Hälfte der Belege liefern, daher können gemeinsam angemeldete Sensoren keine Adresse allein listen.
• Wenn keine externe Reputationsquelle eine Adresse kennt, braucht es zehn Sensoren statt fünf. Der Betreiber legt diese Quellen fest.
• Ein Scan oder eine bloße Verbindung listet nie eine Adresse. Ein eingehender Eintrag braucht eine Anmeldung, einen Befehl, einen Download, einen Exploit-Versuch oder viele Passwort-Raten.
• Ein Malware-Host braucht eine heruntergeladene Datei, die einer bekannten Malware-Familie entspricht oder ein ausführbares Programm oder Skript ist, gesehen von mindestens zwei Sensoren. Eine URL in einem Befehl reicht nicht.
• Ein Befehlsserver braucht hohe Konfidenz aus dem Netzwerk und mindestens zwei verschiedene Malware-Proben von mindestens zwei Sensoren, die auf ihn zeigen.

Nie gelistet

• Tor-Exit-Relays. Tausende Menschen teilen sich jedes davon.
• Große CDN- und Cloud-Frontend-Bereiche. Eine Adresse kann Tausende Websites bedienen.
• Öffentliche DNS-Resolver und Root-Server. Eine Blockade bricht Netze.
• Hostnamen von Shared Hosting und Software-as-a-Service. Eine Blockade bricht die Arbeit.
• Private und reservierte Adressen, etwa dein eigenes lokales Netz.
• Forschungs-Scanner, die sich selbst ankündigen.
• Adressen auf der Allow-Liste, zum Beispiel nach einem angenommenen Entfernungsantrag.

Gewöhnliche Cloud-Server sind nicht ausgenommen, weil Malware dort oft liegt. Kurze Ablaufzeiten und eine Entfernung nach einer Abschaltung begrenzen den Schaden, wenn eine Adresse neu vergeben wird. Die Anzahl ausgenommener Adressen ist öffentlich; die Adressen selbst sind es nicht.

Notbremse

Würde ein einziges Update mehr als die Hälfte einer Liste hinzufügen oder entfernen, und ändern sich mindestens 200 Einträge, wird nichts veröffentlicht. Die vorherigen Dateien bleiben online, bis ein Betreiber die Änderung prüft. So verhindert man, dass eine fehlerhafte Charge oder ein Bug über Nacht ändert, was deine Firewall blockiert.

Ein neuer Eintrag wartet nach seiner Bestätigung sechs Stunden, bevor er erscheint. Die Listen werden einmal pro Stunde neu erstellt.

• Keine IP-Adressen von Mitgliedern. Die Listen enthalten Angreifer-Adressen, nicht die Adressen der Sensoren.
• Keine Namen von Mitgliedern, Pseudonyme, Knoten-IDs oder Fingerabdrücke.
• Keine genaue Zeit einer Sichtung, nur der Tag.
• Keine URLs, Malware-Proben oder Freitext in den Listen.
• Keine Protokolle darüber, wer eine Liste herunterlädt. Die Feed-Seite führt kein Zugriffsprotokoll.
• Keine Cookies, keine Analyse und keine Drittanbieter-Anfragen auf der Feed-Seite.
• Kein Konto und kein Token.

So beantragst du es

1. Öffne das Antragsformular unter https://suckerpot-feeds.selfhostr.io/v1/delist.html.
2. Gib die Adresse oder den Hostnamen ein, wähle einen Grund und füge bei Bedarf Details hinzu (Klartext, höchstens 2.000 Zeichen).
3. Das Formular löst zuerst eine Proof-of-Work-Aufgabe, die etwa eine Sekunde dauert. Das ersetzt eine Anmeldung und begrenzt Anfrage-Fluten.
4. Du erhältst eine Antragsnummer und einen Statuscode. Der Code wird nur einmal angezeigt: Bewahre ihn auf, um den Status später auf derselben Seite zu prüfen.

Gründe, die du angeben kannst

• Ich betreibe diese Adresse, und sie hat niemanden angegriffen.
• Es ist gemeinsam genutzte Infrastruktur, etwa ein CDN, ein Proxy oder ein Resolver.
• Das Problem ist behoben oder bereinigt.
• Die Adresse gehört jetzt jemand anderem.
• Etwas anderes. Erkläre es in den Details.

Einen Wert prüfen

Du kannst jede Adresse oder jeden Hostnamen ohne Anfrage prüfen, mit dem Suchfeld auf der Antragsseite oder dem Aufruf unten. Die Antwort nennt jede Liste, die den Wert enthält, mit ihren Daten. Die Suche ist in ihrer Rate begrenzt.

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

Wie es weitergeht

• Wir streben an, jeden Antrag innerhalb von 72 Stunden zu entscheiden.
• Ein eingehender Eintrag ist ausgeblendet, solange sein Antrag offen ist.
• Ein ausgehender Eintrag bleibt gelistet, bis eine Person den Antrag geprüft hat. Diese Einträge schützen am meisten, deshalb entfernen wir sie nicht auf bloße Behauptung hin.

Deine Daten in einem Antrag

• Das Formular speichert deine IP-Adresse nicht.
• Details und deine Kontaktadresse werden nur zur Antwort genutzt und 30 Tage nach der Entscheidung gelöscht.
• Ist ein Antrag nach 180 Tagen noch offen, werden seine Details und Kontaktadresse dann gelöscht. Der Antragsdatensatz selbst wird 180 Tage nach seiner Stellung gelöscht.

• Nur bestätigte Einträge werden gemeldet, nie ein Scan oder eine bloße Verbindung.
• Standardmäßig prüft ein Betreiber jede Meldung, bevor sie gesendet wird.
• Meldungen gehen an den Missbrauchskontakt des Netzbesitzers, ermittelt über öffentliche Registerdaten (RDAP).
• Eine Meldung enthält nur Fakten: Tage, Dienste, Zählungen in Bereichen und wie viele Sensoren es gesehen haben. Sie nennt nie ein Mitglied.
• Meldungen gehen über ein VPN. Eine Identitätsprüfung lehnt jeden Text ab, der das Projekt oder seinen Betreiber nennt.
• Eine Meldung pro Ziel und Empfänger. Dasselbe Ziel wird innerhalb von 30 Tagen nicht erneut gemeldet.

abuse.ch

Bestätigte Malware-Hosts und Befehlsserver können auch an abuse.ch gehen, wo URLhaus und ThreatFox sie für alle listen. Das ist optional und standardmäßig aus. Heute prüft eine Person jede Einreichung, und Befehlsserver werden erst nach Freigabe durch einen Betreiber eingereicht. Der Nachweis einer abgeschlossenen Einreichung wird 365 Tage aufbewahrt.