Что попадает в список и как из него уходит.

Записи уходят сами: никому не нужно помнить об удалении старого адреса. Вернувшийся адрес снова попадает в список только после нового наблюдения.

У каждого списка есть более строгая версия -high с меньшим числом записей. По умолчанию она требует минимум 10 датчиков, наблюдений в трёх разных днях и проверки во внешнем источнике репутации.

Форматы

• Простой текст, один адрес в строке, также отдельными файлами IPv4 и IPv6.
• Скрипты для nftables, ipset и MikroTik RouterOS.
• CSV и JSON с датами: первое наблюдение, последнее наблюдение и истечение.
• Пакеты STIX 2.1 для исходящих списков.
• Списки доменов поставляются только как текст, CSV и JSON.

Подписано minisign

Рядом с каждым файлом лежит подпись .minisig, сделанная ключами Ed25519. Ключ ленты отделён от ключа, который подписывает сетевые сообщения, поэтому утечка одного не позволит подделать другой. Публичный ключ лежит в README.txt рядом со списками. Проверить файл можно так:

minisign -Vm inbound.txt -P <public key>

Файрвол, который загружает простой URL, подписи не проверяет. Используйте проверенное зеркало или сначала проверьте файл сами.

Вспомогательное средство защиты, а не приговор

Попадание в список это фактическое наблюдение, а не обвинение против человека, которому принадлежит адрес. Многие занесённые устройства сами скомпрометированы, например роутер или NAS, которым управляет кто-то другой. То, что вы блокируете в своей сети, решаете вы.

Правила

Это значения по умолчанию. Хаб может их изменить, а действующие значения лежат по адресу suckerpot-hub.selfhostr.io/v1/info.

• Адрес видели минимум пять датчиков. Каждый был зарегистрирован минимум 14 дней назад и сообщал данные минимум в 7 из последних 14 дней.
• Наблюдения приходятся минимум на два разных дня или поступают минимум от десяти датчиков.
• Одна неделя регистрации не может дать больше половины доказательств, поэтому датчики, которые подключились вместе, не могут внести адрес в список в одиночку.
• Если ни один внешний источник репутации не знает адреса, нужны десять датчиков вместо пяти. Эти источники задаёт оператор.
• Сканирование или голое соединение никогда не вносит адрес в список. Входящей записи нужен вход, команда, загрузка, попытка эксплойта или много попыток угадать пароль.
• Хосту вредоносного ПО нужен загруженный файл, который совпадает с известным семейством вредоносного ПО или является исполняемой программой или скриптом, замеченный минимум двумя датчиками. URL внутри команды недостаточно.
• Сервер управления требует высокой уверенности сети и минимум двух разных образцов вредоносного ПО от минимум двух датчиков, которые на него указывают.

Никогда не вносится в список

• Выходные узлы Tor. Каждый из них делят тысячи людей.
• Крупные диапазоны фронтенд-узлов CDN и облаков. Один адрес может обслуживать тысячи сайтов.
• Публичные DNS-резолверы и корневые серверы. Их блокировка ломает сети.
• Имена хостов общего хостинга и SaaS. Их блокировка ломает работу.
• Частные и зарезервированные адреса, например ваша локальная сеть.
• Исследовательские сканеры, которые сами себя объявляют.
• Адреса из списка разрешённых, например после принятого запроса на удаление.

Обычные облачные серверы не исключаются, потому что вредоносное ПО часто живёт именно там. Короткий срок истечения и удаление после отключения ограничивают вред, когда адрес переиспользуют. Число исключённых адресов публично; сами адреса нет.

Аварийный тормоз

Если одно обновление добавило или удалило бы больше половины списка, и при этом изменилось минимум 200 записей, ничего не публикуется. Предыдущие файлы остаются онлайн, пока оператор не проверит изменение. Это не даёт плохой партии или ошибке поменять то, что ваш файрвол блокирует, за одну ночь.

Новая запись ждёт шесть часов после подтверждения, прежде чем появится. Списки пересобираются раз в час.

• Никаких IP-адресов участников. Списки содержат адреса атакующих, а не адреса датчиков.
• Никаких имён участников, псевдонимов, ID узлов или отпечатков.
• Никакого точного времени наблюдения, только день.
• Никаких URL, образцов вредоносного ПО или свободного текста в списках.
• Никаких журналов о том, кто скачивает список. Сайт ленты не ведёт журнал доступа.
• Никаких cookie, аналитики и сторонних запросов на сайте ленты.
• Никаких аккаунтов и токенов.

Как попросить

1. Откройте форму запроса по адресу https://suckerpot-feeds.selfhostr.io/v1/delist.html.
2. Введите адрес или имя хоста, выберите причину и при желании добавьте подробности (простой текст, не больше 2 000 символов).
3. Сначала форма решает задачу с доказательством работы, на что уходит около секунды. Это заменяет логин и ограничивает потоки запросов.
4. Вы получите номер запроса и код статуса. Код показывается один раз: сохраните его, чтобы позже проверить статус на той же странице.

Причины, которые можно указать

• Этим адресом управляю я, и он никого не атаковал.
• Это общая инфраструктура, например CDN, прокси или резолвер.
• Проблема устранена или очищена.
• Адрес теперь принадлежит другому лицу.
• Другое. Объясните в подробностях.

Проверить значение

Можно проверить любой адрес или имя хоста без отправки запроса: с помощью поля проверки на странице запроса или вызова ниже. Ответ называет каждый список, в котором есть значение, с датами. Проверка ограничена по частоте.

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

Что будет дальше

• Мы стараемся решать каждый запрос в течение 72 часов.
• Входящая запись скрыта, пока её запрос открыт.
• Исходящая запись остаётся в списке, пока человек не проверит запрос. Эти записи защищают сильнее всего, поэтому мы не удаляем их только по заявлению.

Ваши данные в запросе

• Форма не хранит ваш IP-адрес.
• Подробности и ваш контактный адрес используются только для ответа и удаляются через 30 дней после решения.
• Если запрос всё ещё открыт через 180 дней, его подробности и контактный адрес удаляются тогда. Сама запись запроса удаляется через 180 дней после подачи.

• Сообщаются только подтверждённые записи, никогда сканирование или голое соединение.
• По умолчанию оператор проверяет каждую жалобу, прежде чем она уйдёт.
• Жалобы идут на контакт для злоупотреблений владельца сети, который находится по открытым данным реестров (RDAP).
• Жалоба содержит только факты: дни, сервисы, счётчики диапазонами и сколько датчиков это видели. Она никогда не называет участника.
• Жалобы уходят через VPN. Проверка личности отказывает в любом тексте, который называет проект или его оператора.
• Одна жалоба на цель и получателя. Одна и та же цель не сообщается повторно в течение 30 дней.

abuse.ch

Подтверждённые хосты вредоносного ПО и серверы управления могут также уйти в abuse.ch, где URLhaus и ThreatFox публикуют их для всех. Это необязательно и по умолчанию выключено. Сейчас человек проверяет каждую отправку, а серверы управления отправляются только после одобрения оператора. Запись о завершённой отправке хранится 365 дней.