Cosa finisce in una lista, e come ne esce.

Le voci escono da sole: nessuno deve ricordarsi di togliere un vecchio indirizzo. Una voce che torna viene inserita di nuovo solo dopo un nuovo avvistamento.

Ogni lista ha anche una versione più severa -high con meno voci. Di default richiede almeno 10 sensori, avvistamenti in tre giorni diversi e un controllo presso una fonte esterna di reputazione.

Formati

• Testo semplice, un indirizzo per riga, anche come file separati IPv4 e IPv6.
• Script per nftables, ipset e MikroTik RouterOS.
• CSV e JSON con le date: prima vista, ultima vista e scadenza.
• Bundle STIX 2.1 per le liste in uscita.
• Le liste di domini arrivano solo come testo, CSV e JSON.

Firmate con minisign

Ogni file ha accanto una firma .minisig, creata con chiavi Ed25519. La chiave del feed è separata da quella che firma i messaggi della rete, così una fuga dall'una non può falsificare l'altra. La chiave pubblica è nel README.txt accanto alle liste. Per verificare un file così:

minisign -Vm inbound.txt -P <public key>

Un firewall che carica l'URL semplice non verifica le firme. Usa un mirror verificato, o controlla tu il file prima.

Un aiuto difensivo, non un verdetto

Un elenco è un'osservazione di fatto, non un'accusa contro la persona che detiene l'indirizzo. Molti dispositivi elencati sono a loro volta compromessi, per esempio un router o un NAS controllato da altri. Ciò che blocchi sulla tua rete è una tua scelta.

Le regole

Questi sono valori predefiniti. L'hub può cambiarli, e i valori in uso sono su suckerpot-hub.selfhostr.io/v1/info.

• Almeno cinque sensori hanno visto l'indirizzo. Ciascuno era iscritto da almeno 14 giorni e ha inviato dati in almeno 7 degli ultimi 14 giorni.
• Gli avvistamenti sono in almeno due giorni diversi, oppure arrivano da almeno dieci sensori.
• Una settimana di adesione non può fornire più della metà delle prove, quindi sensori entrati insieme non possono inserire da soli un indirizzo in lista.
• Se nessuna fonte esterna di reputazione conosce un indirizzo, ne servono dieci sensori invece di cinque. Le fonti sono scelte dall'operatore.
• Una scansione o una semplice connessione non inseriscono mai un indirizzo in lista. Una voce in ingresso richiede un login, un comando, un download, un tentativo di exploit o molti tentativi di indovinare la password.
• Un host di malware richiede un file scaricato che corrisponda a una famiglia di malware nota oppure sia un programma o uno script eseguibile, visto da almeno due sensori. Un URL dentro un comando non basta.
• Un server di comando richiede alta affidabilità dalla rete e almeno due campioni di malware diversi, da almeno due sensori, che lo indicano.

Mai inseriti in lista

• Relay di uscita Tor. Migliaia di persone condividono ciascuno.
• Grandi intervalli di front-end CDN e cloud. Un solo indirizzo può servire migliaia di siti.
• Resolver DNS pubblici e root server. Bloccarli interrompe le reti.
• Hosting condiviso e nomi host di software come servizio. Bloccarli interrompe il lavoro.
• Indirizzi privati e riservati, come la tua rete locale.
• Scanner di ricerca, che si annunciano come tali.
• Indirizzi nella allow-list, per esempio dopo una richiesta di rimozione accettata.

I normali server cloud non sono esclusi, perché il malware spesso vive lì. La scadenza breve e la rimozione dopo una rimozione limitano il danno quando un indirizzo viene riassegnato. Il numero di indirizzi esclusi è pubblico; gli indirizzi no.

Freno di emergenza

Se un aggiornamento aggiungesse o togliesse più della metà di una lista, e cambiassero almeno 200 voci, non viene pubblicato nulla. I file precedenti restano online finché un operatore non verifica la modifica. Questo evita che un lotto difettoso o un bug cambino per una notte ciò che il tuo firewall blocca.

Una voce nuova attende sei ore dopo la conferma prima di comparire. Le liste vengono ricostruite una volta all'ora.

• Nessun IP dei membri. Le liste contengono indirizzi attaccanti, non quelli dei sensori.
• Nessun nome di membro, pseudonimo, ID di nodo o impronta.
• Nessun orario esatto di un avvistamento, solo il giorno.
• Nessun URL, campione di malware o testo libero nelle liste.
• Nessun registro di chi scarica una lista. Il sito del feed non tiene log di accesso.
• Nessun cookie, nessuna analytics e nessuna richiesta a terze parti sul sito del feed.
• Nessun account e nessun token.

Come chiedere

1. Apri il modulo di richiesta su https://suckerpot-feeds.selfhostr.io/v1/delist.html.
2. Inserisci l'indirizzo o il nome host, scegli un motivo e aggiungi dettagli se vuoi (testo semplice, massimo 2,000 caratteri).
3. Il modulo risolve prima un enigma di proof-of-work, che richiede circa un secondo. Questo sostituisce un login e limita le ondate di richieste.
4. Ricevi un numero di richiesta e un codice di stato. Il codice viene mostrato una sola volta: conservalo per controllare lo stato più tardi nella stessa pagina.

Motivi che puoi indicare

• Gestisco io questo indirizzo e non stava attaccando nessuno.
• È un'infrastruttura condivisa, come un CDN, un proxy o un resolver.
• Il problema è stato risolto o ripulito.
• L'indirizzo ora appartiene a qualcun altro.
• Altro. Spiegalo nei dettagli.

Verifica un valore

Puoi verificare qualsiasi indirizzo o nome host senza inviare una richiesta, con la casella di ricerca sulla pagina di richiesta o con la chiamata qui sotto. La risposta indica ogni lista che contiene il valore, con le sue date. La ricerca ha un limite di frequenza.

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

Cosa succede dopo

• Puntiamo a decidere ogni richiesta entro 72 ore.
• Una voce in ingresso resta nascosta mentre la sua richiesta è aperta.
• Una voce in uscita resta in lista finché una persona non ha esaminato la richiesta. Queste voci sono quelle che proteggono di più, quindi non le rimuoviamo sulla sola parola di qualcuno.

I tuoi dati in una richiesta

• Il modulo non conserva il tuo indirizzo IP.
• I dettagli e il tuo contatto servono solo per rispondere, e vengono cancellati 30 giorni dopo la decisione.
• Se una richiesta resta aperta dopo 180 giorni, i suoi dettagli e il contatto vengono cancellati a quel punto. Il registro della richiesta viene cancellato 180 giorni dopo la sua presentazione.

• Vengono segnalate solo le voci confermate, mai una scansione o una semplice connessione.
• Di default un operatore esamina ogni segnalazione prima dell'invio.
• Le segnalazioni vanno al contatto di abuso del proprietario della rete, trovato tramite i dati pubblici di registro (RDAP).
• Una segnalazione contiene solo fatti: giorni, servizi, conteggi in intervalli e quanti sensori l'hanno visto. Non nomina mai un membro.
• Le segnalazioni escono da una VPN. Un controllo d'identità rifiuta ogni testo che nomini il progetto o il suo operatore.
• Una segnalazione per bersaglio e destinatario. Lo stesso bersaglio non viene segnalato di nuovo entro 30 giorni.

abuse.ch

Gli host di malware e i server di comando confermati possono anche andare ad abuse.ch, dove URLhaus e ThreatFox li elencano per tutti. È facoltativo e disattivato di default. Oggi una persona controlla ogni invio, e i server di comando vengono inviati solo dopo l'approvazione di un operatore. Il registro di un invio completato viene conservato per 365 giorni.