Attack Intelligence — Was es ist & wie es funktioniert

Attack Intelligence ist ein Community-Netzwerk in beide Richtungen:

• Melden: Ihre Server melden Angriffsversuche (SSH-Brute-Force, IMAP/POP3-Logins, SMTP-Auth, Web-Angriffe, DDoS, Port-Scans und 100+ weitere Dienst-Typen) automatisch an eine zentrale Scoring-Liste.
• Blocken: jeder Teilnehmer blockt die von der Community gemeldeten IPs automatisch auf den eigenen Servern und Firewalls - Angreifer werden überall gestoppt, nicht nur dort, wo sie erwischt wurden.

Es funktioniert wie blocklist.de, aber vorsichtiger: jede Meldung ist ein Hinweis, nie ein Urteil. Eine IP wird erst gelistet, wenn mindestens zwei unabhängige Meldungen sie bestätigen - oder sofort bei kritischen Kategorien (Malware, Botnet).

Für wen ist das?

• Hoster & Server-Admins, die fail2ban, CrowdSec oder andere Server-Software betreiben.
• Firewall-Betreiber (iptables, nftables, ufw, pf/BSD, Windows), die eine kostenlose, automatisch aktualisierte Blockliste wollen.
• Alle, die prüfen wollen, ob eine IP ein bekannter Angreifer ist, bevor sie hereingelassen wird.

Was es kostet

Nichts. Melden, Blocken und IP-Checks sind kostenlos und ohne Konto nutzbar. Ein kostenloser Account schaltet nur optionale Report-Tokens für persönliche Statistiken frei.

Drei Schritte, vollautomatisch:

1. Server meldet: fail2ban bannt einen Angreifer und meldet die IP automatisch per HTTP-API an uns (CrowdSec und jedes eigene System funktionieren ebenso).
2. Wir bewerten: jede Meldung ist ein gewichtetes Signal. Kategorie, Konfidenz und Reporter-Reputation bestimmen den Score. Scores fallen exponentiell - Einträge verschwinden ohne neue Aktivität automatisch (7 Tage).
3. Alle blocken automatisch: Teilnehmer holen sich die aktuelle Liste alle 5 Minuten. Auf Servern über den fail2ban-Block-Jail, auf Firewalls über den Text-Export. Der zuständige Provider wird anonym informiert (RDAP/whois, X-ARF-Format).

Wichtig: das Blocken läuft niemals über DNS-Abfragen. Die DNS-Zonen sind Prüf-Zonen - Sie fragen sie ab, um eine einzelne IP nachzuschlagen. Das eigentliche Blocken nutzt den HTTP-Export, alle 5 Minuten synchronisiert.

Jede IP durchläuft vier Zustände:

Zustand	Bedeutung	DNS-Antwort
Clean	Keine Meldungen.	NXDOMAIN
Watchlist	Ein Report - nur internes Monitoring, nicht öffentlich gelistet.	NXDOMAIN
Soft-Listed	Zwei unabhängige Reports - gelistet mit Sperr-Code.	127.0.0.8 (Abuse) / 127.0.0.7 (Exploit/Scanner)
Hard-Listed	Weitere Reports oder kritische Kategorie - Ablehnung erlaubt.	127.0.0.6 (Botnet) u.a.

Das Vorsichts-Prinzip:

• Jeder Report zählt gleich - mit Token oder anonym.
• Ein einzelner Report erreicht nur die Watchlist - keine Willkür-Listungen.
• Zwei unabhängige Reports listen die IP, weitere Reports führen zu hard-listed.
• Kritische Kategorien (Malware, Botnet) listen mit einem einzigen Report.
• Einträge laufen ohne neue Meldungen automatisch ab (7 Tage).

Reporter-Reputation beeinflusst das Gewicht einer Meldung (0,25x-2,0x), nie die Listungs-Schwelle - vertrauenswürdige Melder halten Einträge länger gelistet und erreichen hard-listed schneller, unzuverlässige Quellen werden gedämpft.

Jeder der 109 Dienste hat eine eigene Prüf-Zone unter attacks.provider.tools, plus eine Basis-Zone für alle Angriffe:

ssh.attacks.provider.tools      imap.attacks.provider.tools     smtp-auth.attacks.provider.tools
attacks.provider.tools          (Basis-Zone - jeder Angriff)

Die umgekehrte IP unter dem Zonen-Label abfragen, um eine einzelne IP zu prüfen - siehe Artikel IPs prüfen.

Für das Blocken gibt es den HTTP-Export - eine Text-Liste aller aktuell gelisteten IPs (eine pro Zeile), optional nach Dienst gefiltert:

https://reports.provider.tools/api/v1/abuse/export            (alle)
https://reports.provider.tools/api/v1/abuse/export?service=ssh

Diesen Export synchronisieren der fail2ban-Block-Jail und die Firewall-Beispiele alle 5 Minuten.

1. Auf einem Server mit fail2ban: ein Befehl - siehe fail2ban (Melden & automatisches Blocken). Installiert Melden UND Blocken in 2 Minuten.
2. Auf einer Firewall / einem Router: Export synchronisieren und blocken - siehe In der Firewall. Beispiele für iptables, nftables, ufw, pf (BSD) und Windows.
3. Nur eine IP prüfen? Nutzen Sie den Live-Check oder dig - siehe IPs prüfen.