Threat feed для межсетевых экранов: эффект, ограничения и сравнение поставщиков

Интернет постоянно сканируют автоматизированные системы. Они ищут открытые порты, страницы входа, VPN-порталы, известные веб-приложения и уязвимые сервисы. Часть принадлежит исследователям безопасности и поисковым системам инфраструктуры, часть — ботам и злоумышленникам.

Если вы публикуете сервис через WAF или DNAT, предоставляете почтовый шлюз либо общедоступную страницу входа, его рано или поздно обнаружат. Наличие публичного IP-адреса само по себе не означает компрометацию. Но когда сервис отвечает, фоновый шум превращается в реальную нагрузку на межсетевой экран, IPS, WAF, серверы, приложения и журналирование.

Как инженер по безопасности я вижу это ежедневно. Обычно речь не об одной впечатляющей атаке, а о непрерывном потоке сканирований, попыток входа и проверок уязвимостей. Недавно я участвовал в разборе случая, масштаб которого удивил даже нашу команду. Межсетевой экран в дата-центре с каналом 10 Гбит/с и, казалось бы, достаточным запасом производительности работал почти на пределе. Загрузка канала была высокой, интерфейс управления тормозил, а опубликованные сервисы непрерывно создавали события.

Мы изучили направления трафика, адреса назначения, порты, временные интервалы и повторяющиеся источники. Многочисленные автоматические запросы снова и снова попадали на те же веб-, почтовые и входные сервисы. Стоимость обработки определяется не одним объемом данных: отбросить пакет, выполнить TLS-рукопожатие и обработать сложный запрос приложением — разные задачи.

Мы объяснили заказчику результаты: существенная доля активности состояла из ботов и сканирований. Рассказали, как здесь может помочь threat feed, где его пределы и что подходящая лицензия стоит около 350 долларов в год. После согласования мы за несколько минут и несколько нажатий подключили список к межсетевому экрану.

Затем интерфейс управления стал заметно отзывчивее. Заказчик также сообщил, что сайты и приложения загружаются значительно быстрее. Именно наблюдаемый эффект, а не новизна технологии, сделал этот случай интересным. Он позволяет объяснить, какую пользу дает threat feed и чего от него ожидать нельзя.

Результат в цифрах

Измерения получены на рабочем межсетевом экране. IP-feed начал действовать 1 сентября 2026 года в 10:01:05; первое совпадение появилось через несколько секунд. К 20:30 CEST 2 сентября было зарегистрировано 516 959 событий блокировки.

Средний показатель за весь период — 249,9 события в минуту, или 4,17 в секунду: одна блокировка каждые 0,24 секунды. Самая насыщенная минута дала 775 событий. Пик составил 107 событий за секунду и повторился две секунды подряд.

Я намеренно называю их событиями блокировки, совпадениями или попытками соединения. Это не обязательно 516 959 независимых атак, направленных людьми. Один сканер многократно обращается к сервису, а бот быстро перебирает порты.

Кто стучался?

За все 34 часа и 29 минут 516 727 событий относились к входящему трафику. Только 232 означали предотвращенные исходящие соединения. Таким образом, 99,955% активности feed в этой среде приходилось на источники из интернета.

Совпадения дали 10 518 разных IP-адресов. При 220 000 индикаторов IPv4 в списке того периода примерно 4,8% списка проявились на одном межсетевом экране за приблизительно 34 часа. Самый активный адрес дал 4 141 событие, первая десятка — около 31 500, а 767 адресов встретились только один раз. 4,8% — сравнение с размером списка, не полнота обнаружения: состав списка меняется, а неизвестные источники в счетчик не входят.

Анализ портов основан на скользящем 24-часовом окне с примерно 369 000 подробных событий:

Около 56% событий приходилось на веб-порты и 40% — на почтовые. Подробное окно охватывало 27 внутренних систем назначения. Названия сервисов выведены из портов, а не подтверждены анализом протокола. Это скользящее 24-часовое окно не совпадает с первыми сутками после включения, поэтому суммы нельзя сравнивать напрямую.

232 исходящих совпадения касались десяти внутренних систем и 17 адресов назначения из списка. Это не доказательство заражения, но повод для проверки: возможны malware, сторонний контент, устаревшая запись или легальная служба на переназначенном IP.

После изменения интерфейс межсетевого экрана стал отзывчивее, а заказчик сообщил об ускорении загрузки. Где именно находилось прежнее узкое место — в устройстве, серверах, приложениях или канале — неизвестно. Журналы подтверждают фильтрацию, но не измеряют сэкономленные ресурсы и процент прироста производительности.

Ранее автоматические запросы действительно доходили до веб-серверов и приложений, которые отвечали даже на несуществующие пути. Ранняя блокировка IP избавила их от этой работы. Сверка со списком тоже расходует ресурсы; польза в предотвращенной дальнейшей обработке. Порядок зависит от платформы и настроек. Первый пакет все равно достигает WAN, поэтому объемный DDoS требует защиты выше по сети.

Как работает threat feed

Простой feed может быть текстовым файлом, который межсетевой экран скачивает по HTTPS. Многие поставщики предлагают домены и URL наряду с IP-адресами. В большинстве наших сценариев мы используем именно IP: они дают наиболее важные сведения для ранней блокировки. Индикаторы обновляются по расписанию; совпавший трафик регистрируется или блокируется согласно настройкам.

Надежность зависит от предварительных решений поставщика:

• Было поведение вредоносным или просто необычным?
• Насколько свежо наблюдение?
• Подтверждают ли его независимые источники?
• Когда устаревшую запись следует удалить?

Длинный список еще не означает хорошую аналитику угроз. Важны актуальность, точность и своевременное удаление. Динамические адреса облачных, хостинговых и операторских сетей могут снова использоваться законно. Слишком короткий список, напротив, может пропускать повседневное сканирование.

Сравнение threat feed для межсетевых экранов

Назову поставщика сразу: я и многие коллеги используем feed Cybora. Им же защищаю публичные сервисы на собственных облачных серверах. Выбор основан на сравнении в работе, а не на демонстрации продукта.

За двенадцать месяцев мы оценили более 30 коммерческих и публичных источников на 15 межсетевых экранах заказчиков, потратив несколько тысяч долларов. Были бесплатные варианты и пакеты почти за 1 000 долларов в месяц. Высокая цена не означала широкий охват: некоторые дорогие списки были намного меньше.

Все feed работали на 15 устройствах в режиме Monitor: совпадения записывались, соединения не блокировались. Это сравнение отдельно от блокирующего развертывания в дата-центре. По журналам межсетевых экранов и приложений мы оценивали вредоносное поведение, дополнительное покрытие, свежесть и возможные ложные срабатывания. Повторения группировали, чтобы один сканер не исказил результат; учитывали и законные соединения, которые могли бы быть остановлены.

Это отчет о практическом опыте, не воспроизводимый benchmark. Пересечения, порядок оценки и другие средства защиты влияют на журналы Monitor; отсутствие записи само по себе не доказывает пробел. Полные снимки списков, настройки и подтвержденные примеры здесь не опубликованы.

Эти одиннадцать предложений не являются рейтингом популярности. Cybora стоит первым по результатам нашего опыта.

Cybora

Cybora показал для наших сред лучший баланс охвата, свежести, полезных совпадений, небольшого числа ложных срабатываний, интеграции, поддержки и цены. Начальные планы доступны, а обновление Ultimate каждые 15 минут интересно крупным открытым инфраструктурам.

Cybora специализируется на фидах для межсетевых экранов. По словам компании, в анализе помимо данных ханипотов используются сигналы от производственных межсетевых экранов клиентов, которые решают передавать такие сигналы. Они наблюдают атаки на реальные публичные сервисы. В нашем сравнении мы неоднократно находили подозрительные IP, которые на момент проверки присутствовали только у Cybora. Несколько IP, связанных с попытками перебора паролей в наших журналах, появились у Cybora на несколько дней раньше, чем в других фидах, добавивших их позднее. Дополнительный и более ранний охват стал для нас ощутимой разницей в качестве.

CrowdSec Blocklists

CrowdSec Blocklists сочетает открытый Security Engine, сигналы сообщества и подготовленные списки для межсетевых экранов. Производственная телеметрия и специализированные списки — сильные стороны. Список атакующих определенную CMS, прокси или CVE не обязательно подходит как универсальный пограничный feed.

GreyNoise

GreyNoise предлагает IP-списки на основе запросов для межсетевых экранов. GNQL позволяет выбрать недавно активные вредоносные источники или активность вокруг CVE. Это вариант для команд, которым нужны собственные критерии; нужны также проектирование запросов, права на модули данных и пересмотр выборки. GreyNoise — не только средство обогащения журналов.

Q-Feeds

Q-Feeds заявляет объединение более 2 500 коммерческих, открытых и государственных источников в IP-, доменных и URL-feed с проверкой качества. Уже в первый час нашего теста в режиме Monitor список совпал с несколькими законными соединениями; при включенной блокировке они были бы остановлены. Мы проверили журналы и сообщили о потенциальных ложных срабатываниях. Поддержка довольно быстро удаляла сообщенные записи, но трудозатраты на проверку заставили нас перестать систематически сообщать о дальнейших случаях.

Число источников само по себе не объясняет совпадения. Без происхождения и оценки каждого IP причину установить нельзя. Для широкого блокирования у заказчиков ожидаемая нагрузка на исключения и поддержку была для нас слишком высокой. Для наблюдения и расследования Q-Feeds все же может быть полезен.

Spamhaus DROP

Spamhaus DROP — консервативный список особо опасных сетей для фильтрации на границе или маршрутизации. Высокий порог включения делает его надежным, но каждый краткоживущий сканер в него не попадет.

ThreatFox

ThreatFox от abuse.ch и Spamhaus сосредоточен на индикаторах вредоносного ПО, включая инфраструктуру управления. Он полезен для обнаружения malware и threat hunting, но уже универсального feed против сканеров и перебора паролей.

URLhaus

URLhaus от abuse.ch распространяет URL для доставки вредоносного ПО. Это подходящий источник для DNS-фильтров, прокси, защищенных веб-шлюзов и анализа; для одной лишь блокировки IP он специализирован. API требует Auth-Key, а доступ сообщества не означает неограниченного бесплатного коммерческого использования: нужно проверить условия fair use.

DShield

DShield публикует короткий рекомендуемый список из присланных журналов межсетевых экранов. Он может дополнять другие источники. Остальные наборы данных скорее предназначены для исследований и не должны импортироваться как блокировки без отбора.

FireHOL IP Lists

FireHOL IP Lists собирает множество публичных списков и позволяет сравнивать размеры, обновления, возраст и пересечения. При этом агрегатор наследует недостатки источников, а многократно переиздаваемые записи могут сохраняться слишком долго.

AbuseIPDB

AbuseIPDB предоставляет репутацию IP по сообщениям пользователей и текстовый список с настраиваемым порогом доверия. Высокая оценка не доказывает вредоносность каждого текущего соединения. Важны возраст жалоб, общие IP и лимиты запросов тарифного плана.

IPsum

IPsum ежедневно агрегирует более 30 публичных списков и предлагает пороги по числу совпавших источников. Он прозрачен, но три списка могут повторять одни данные, а не представлять три независимых наблюдения. Ежедневное обновление ограничивает скорость реакции; собственной телеметрии здесь нет.

Бесплатный не значит плохой, коммерческий не значит хороший. Многие открытые источники прекрасны в своей нише. Для широкого блокирования на периметре мы рассматриваем их скорее как специальные компоненты, а не полную замену постоянно курируемого универсального feed.

Почему в нашем сравнении победил Cybora

Это мой личный блог; личных комиссионных я не получаю. Мой работодатель перепродает лицензии Cybora с наценкой, и я раскрываю эту связь. Наш выбор основан на описанном практическом сравнении.

В случае дата-центра измерялся именно feed Cybora. Мы начали с Premium за 349 долларов в год с ежечасными обновлениями. Согласно описанию производителя, Cybora объединяет OSINT, коммерческие источники, honeypot, датчики и телеметрию реальных межсетевых экранов. Индикаторы оценивают по свежести, уверенности и подтверждению несколькими источниками, убирают дубликаты, проверяют правила разрешения и исключения, затем публикуют как HTTPS-список. В момент испытания Premium содержал 220 000 IPv4, 45 000 доменов и 25 000 URL. IPv4 на измеряемом устройстве работали в режиме Block, домены сначала в Monitor.

Через неделю заказчик перешел на Ultimate: тогда он включал более 300 000 IPv4 и более 100 000 доменов и URL каждого типа, обновляясь каждые 15 минут. Заказчик сообщил о дальнейшем ускорении. Однако рассмотренное выше окно измерений заканчивается до перехода и не доказывает дополнительный прирост. В данном случае более дорогой план все равно стоил намного меньше замены устройства на крупную модель и соответствующей лицензии. Но маленькому офису максимальный план автоматически не нужен; для этого сильно открытого дата-центра дополнительное покрытие имело смысл.

Мы неоднократно находили IP, которые в момент проверки присутствовали только у Cybora. Доступные журналы показывали необычные серии запросов, URL-пути и автоматические обращения к страницам входа или формам. Ранний IP-блок сам по себе не показывает HTTP-путь: доказательства поступают из периодов Monitor или сопоставимых журналов. Высокая частота запросов сама по себе тоже не доказывает атаку; важны поведение и время включения в список.

Один случай показал предел IP-блокировки: необходимый заказчику сайт разделял адрес из списка с зараженной хостинговой инфраструктурой. Классификация была обоснованной, но легальный сайт тоже стал недоступен. IP-правило не различает сайты на одном адресе. Мы учитываем это как работу с исключениями: по возможности разрешение нужно ограничить необходимым сервисом и пользователями, а затем пересмотреть. Важно не только обосновать запись, но и безопасно применять feed с приемлемой операционной нагрузкой.

Чего threat feed не может

Наши измерения относятся к IPv4. Сервисы, доступные также через IPv6, нуждаются в отдельной защите: список IPv4 не фильтрует такие соединения.

Feed блокирует известные индикаторы. Он не распознает автоматически нового атакующего с чистым IP, злоумышленника в легитимном облаке, атаку за CDN или уязвимость вашего приложения. Адреса меняются, домены появляются, зараженные системы очищают или передают другим пользователям.

Поэтому feed не заменяет обновления, MFA, IPS, WAF, EDR, разумные правила межсетевого экрана и журналы. Это дополнительный ранний уровень принятия решений для DNAT, WAF, VPN и почты. Новый feed я сначала включал бы в режиме наблюдения, готовил исключения, проверял лимиты обновления и емкости и определял процесс обработки ложных срабатываний.

Вывод

Измерения не показывают, что лицензия волшебным образом заменяет канал 10 Гбит/с или более крупный межсетевой экран. Они показывают, что на одном устройстве свыше полумиллиона событий соединения с известными нежелательными источниками были остановлены рано за немногим более 34 часов.

Для заказчика было важно повседневное улучшение: администрирование стало плавнее, а сайты и приложения, по его словам, существенно быстрее. Это значимый операционный результат, хотя исходное узкое место по данным не установлено. Журналы дополняют наблюдение, подтверждая регулярную работу фильтра.

В нашем двенадцатимесячном сравнении Cybora оказался лучшим универсальным feed для этой задачи. CrowdSec, GreyNoise, Spamhaus, abuse.ch и другие источники остаются ценными, часто сильнее в своей специализации. Правильный вопрос не «У кого список длиннее?», а «Какие данные актуальны, точны и безопасны для блокировки на моих публичных сервисах?».

До встречи,
Joe

FAQ