IP-Regeln unter Verwendung der Firewall

CrowdHandler verfügt über eine leistungsstarke Firewall, mit der Sie den Zugriff auf Warteräume und Ihre Website steuern können.

Die Firewall-Funktion ist ab dem Plus-Tarif verfügbar und ermöglicht es Ihnen, Regeln auf Basis von IP-Bereichen hinzuzufügen, um Datenverkehr zu blockieren, zu priorisieren oder umzuleiten. Eine zusätzliche, automatisierte IP-Filterung ist in den Tarifen „Professional“ und „Enterprise“ verfügbar. Diese Funktionen arbeiten Hand in Hand mit der Anomalieerkennung.

Zugriff auf die Firewall#

Gehen Sie zur Domain-Liste und klicken Sie auf das Schild-Symbol neben dem Domainnamen, für den Sie Regeln festlegen möchten (IP-Regeln werden für jede Domain einzeln konfiguriert).

IP-Adressen verwalten#

Der Bildschirm „IPs verwalten“ ist die Standardansicht der Firewall. Auf diesem Bildschirm werden Ihre aktuellen Firewall-Regeln sowie die am häufigsten verwendeten, derzeit verbundenen IP-Adressen angezeigt. Sie können neue Regeln hinzufügen, eine bestehende Regel bearbeiten oder den Status einer aufgeführten IP-Adresse schnell ändern.

Regeln wirken sich auf den Datenverkehr aus, der unter den Schutzbereich Ihrer aktiven Warteräume fällt. Wenn Sie möchten, dass die Firewall-Regeln jederzeit für den gesamten Datenverkehr auf Ihrer Domain gelten, müssen Sie einen „Catch-All“-Warteraum einrichten.

Eine Regel hinzufügen#

1. Geben Sie die IP-Adresse (oder den CIDR-Bereich) ein
2. Fügen Sie optional eine Notiz zur einfachen Identifizierung hinzu
3. Wählen Sie die Liste aus, zu der Sie diese IP-Adresse oder diesen IP-Bereich hinzufügen möchten

Es gibt folgende Status:

• Ignorieren – Dies bedeutet, dass die IP-Adresse hinsichtlich des Zugriffs auf die Website und der Priorisierung in der Warteschlange wie gewohnt behandelt werden soll, jedoch keinen automatisierten Maßnahmen wie automatischer Sperrung oder der Erfassung von Anomalien unterliegen soll. Verwenden Sie diesen Status, wenn Sie die Herkunft einer IP-Adresse oder eines IP-Bereichs kennen und dieser vertrauen und nicht möchten, dass sie durch normale Regeln gesperrt wird.
• Blockieren – Verwenden Sie diese Option, um IP-Adressen oder IP-Bereiche zu blockieren. Der Nutzer wird in den Warteraum weitergeleitet, wo der Status „Blockiert“ angezeigt wird. Sie können die Meldung anpassen, indem Sie Ihre Vorlage bearbeiten.
• Bypass – Datenverkehr von IP-Adressen oder IP-Bereichen, die für den Bypass festgelegt wurden, ist für CrowdHandler im Wesentlichen unsichtbar. Wir überprüfen den Nutzer nicht, stellen ihn nicht in die Warteschlange, verfolgen die Sitzung nicht und protokollieren die Anfrage nicht einmal. Das bedeutet, dass CrowdHandler Sie überhaupt nicht vor umgeleitetem Datenverkehr schützt. Wir empfehlen daher, diese Funktion nur für eine kleine Anzahl vertrauenswürdiger Nutzer zu verwenden, sofern dies sinnvoll ist. Naheliegende Anwendungsfälle sind Mitarbeiter des Betriebs, die überprüfen, ob die Anwendung hinter der Warteschlange funktionsfähig ist, sowie Entwickler, die ihre Anwendung ohne Beeinträchtigungen durch die Warteschlange testen möchten.
• Priorisieren – Datenverkehr von priorisierten IP-Adressen und IP-Bereichen wird in der Warteschlange vorrangig behandelt. Je nach Datenverkehrsaufkommen kann dies für Nutzer so wirken, als würden sie den Warteraum komplett überspringen. Sie werden jedoch ohnehin anhand der Gesamtkontingente der Domain überprüft und gegebenenfalls in eine Warteschlange mit niedrigerer Priorität eingereiht. Dies funktioniert genauso, als hätte der Nutzer einen Prioritätscode verwendet. Die IP-Priorisierung kann nützlich sein, um VIP-Kunden, die sich aus Unternehmensnetzwerken verbinden, automatisch Vorrang zu gewähren, oder in Fällen, in denen interne Vertriebs- und Supportmitarbeiter öffentliche Anwendungen im Auftrag von Kunden nutzen.

IP-Anzeige und Statusänderungen#

Auf dem Bildschirm „IPs verwalten“ werden Ihre bestehenden Regeln aufgelistet und die am häufigsten verwendeten IP-Adressen angezeigt, die derzeit verbunden sind. Die Informationen lauten wie folgt:

• IP-Adresse – v4 und v6 werden unterstützt
• Flagge des Herkunftslandes und Netzwerksymbol – Wenn Sie mit der Maus über die jeweiligen Symbole fahren, werden der Name der Stadt und des Landes sowie der Name des Netzwerks oder Internetdienstanbieters angezeigt. Durch Klicken auf eines dieser Symbole werden Informationen zur IP-Abfrage angezeigt, darunter weitere Details zum Standort und zum Netzwerk. Von besonderem Interesse könnte die Route (ein CIDR-Bereich) sein, da es unter Umständen effektiver ist, eine Regel auf die gesamte Route anzuwenden, anstatt eine bestimmte IP-Adresse zu blockieren oder zu ignorieren.
• Hinweis: Sie können diese Angaben aktualisieren. Bei automatisch gesperrten IP-Adressen wird der Grund für die Sperrung vermerkt. Auch bei IP-Adressen, die die Warnschwellen überschreiten, werden entsprechende Vermerke angezeigt.
• Sitzungen – Die Anzahl der Sitzungen, die von dieser IP-Adresse ausgehen. Hohe Werte können auf Bot-Aktivitäten, betrügerisches Verhalten oder Nutzer hinweisen, die versuchen, die Warteschlange mit vielen Geräten oder privaten Tabs zu manipulieren. Sie können auch auf ein Unternehmens-, Behörden- oder Bildungsnetzwerk hindeuten. Wenn es sich dabei Ihrer Meinung nach um eine legitime Zielgruppe handelt, sollten Sie diese IP-Adressen (oder Routen) möglicherweise als zu ignorierende Einträge festlegen.
• Verbunden – Zeigt an, wann Sitzungen von dieser IP-Adresse erstmals eine Verbindung hergestellt haben. Sitzungen, die ungewöhnlich lange bestehen, können verdächtig sein.
• Status – Sie können eine IP-Adresse schnell auf einen der oben beschriebenen Status setzen, indem Sie den Status auswählen und auf das Speichersymbol klicken.

IP-Filterung und automatische Sperrung#

Am oberen Bildschirmrand befinden sich drei Steuerelemente zur automatischen Filterung des Datenverkehrs auf der Grundlage von IP-Informationen oder Verhaltensmustern.

Für die Filterung bekannter Bedrohungen und die Blockierung anhand des Anomalie-Scores ist ein „Professional“-Tarif oder höher erforderlich.

Bekannte Bedrohungen#

CrowdHandler nutzt eine Kombination aus extern bezogenen Informationen zu IP-Adressen und internen Erkenntnissen, die auf der Auswertung des Kundenverkehrs basieren, um IP-Adressen zu kategorisieren. Anhand dieser Kategorien können Sie den Datenverkehr bereits beim ersten Kontakt automatisch blockieren. Sie können jede dieser Kategorien aktivieren:

• CrowdHandler-Blockierungsregeln – Dies ist unsere globale Blockierungsdatenbank. Sie wird durch die Beobachtung des Datenverkehrs in unserem Netzwerk erstellt, wobei IP-Bereiche identifiziert werden, die wiederholt anomales, betrügerisches oder bedrohliches Verhalten bei mehr als einem Kunden aufweisen. Derzeit umfasst sie etwa 3 Millionen IP-Adressen. Die Liste der Regeln wird regelmäßig überprüft, aktualisiert sich jedoch automatisch. Nutzer, die sich für diese Liste entscheiden, stellen häufig fest, dass einzelne Sperrungen und Warnungen vor Anomalien auf ihrer Domain um bis zu 80 % zurückgehen. Im Gegensatz zu allen anderen Regeln auf dieser Liste werden einzelne Sperrungen, die auf dieser Liste basieren, jedoch nicht in Ihrem Control Panel protokolliert. Regeln in Ihrem Admin-Panel haben Vorrang vor unseren Sperrregeln. Wenn Sie also feststellen, dass wir Datenverkehr blockieren, der Ihrer Meinung nach zugelassen werden sollte, können Sie Ignorierregeln hinzufügen, um unsere Regeln zu überschreiben.
• Bekannte Angreifer – Hierbei handelt es sich um IP-Adressen, die in externen IP-Datenbanken als Versuche von Verhaltensweisen, die eine Sicherheitsbedrohung darstellen, markiert wurden. Beispiele hierfür sind SQL-Injection- oder XSS-Versuche. Wir empfehlen, diesen Datenverkehr zu blockieren.
• Bekannte Missbraucher – Hierbei handelt es sich um IP-Adressen, die in externen IP-Datenbanken als Versuche von Spam oder missbräuchlichem Verhalten gekennzeichnet wurden. Beispiele hierfür sind das Überfluten von Kommentaren, wiederholte Newsletter-Anmeldungen, Scraping usw. Wir empfehlen, diesen Datenverkehr zu blockieren. Allerdings ist diese Kategorie anfälliger für Fehlalarme als die vorherige, da es häufig vorkommt, dass Nutzer inländischer Internetdienstanbieter unwissentlich in dieses Verhalten verwickelt werden oder auf eine IP-Adresse wechseln, die zuvor für dieses Verhalten genutzt wurde.
• TOR – Externe Informationsquellen weisen darauf hin, dass diese Adresse zum TOR-Netzwerk gehört, das als Quelle für viel betrügerischen Datenverkehr gilt. Wir empfehlen, TOR zu blockieren. Auch wenn Nutzer ein Recht auf Anonymität haben mögen, möchten Sie wahrscheinlich keine anonymen Kunden.
• Rechenzentren – Datenverkehr, der aus Rechenzentren und nicht von Unternehmen oder privaten Internetdienstanbietern stammt, ist mit hoher Wahrscheinlichkeit automatisierter Datenverkehr (mit anderen Worten: Bots). Wir empfehlen, Rechenzentren zu blockieren. Beachten Sie, dass zu den legitimen IP-Adressen von Rechenzentren auch Überwachungsdienste, Suchmaschinen-Crawler und Callbacks von Zahlungsgateways gehören können. CrowdHandler unterhält hierfür globale Ausnahmelisten. Sollten Sie jedoch feststellen, dass ein von Ihnen benötigter Dienst blockiert wird, können Sie eine Ignorierregel für diesen Adressbereich hinzufügen, um die automatische Blockierung zu umgehen.
• Proxys – Nutzer verwenden Proxy-Netzwerke (oder VPNs), um ihre Identität zu verschleiern. Der Großteil des betrügerischen Nutzungsverkehrs und des Bot-Verkehrs stammt aus Proxy-Netzwerken, da Nutzer, die illegal handeln, nicht möchten, dass ihre IP-Adresse identifiziert werden kann. Das Blockieren von Proxy-Netzwerken führt zu weniger betrügerischem Datenverkehr. Beachten Sie, dass viele Nutzer im Inland mittlerweile aus Datenschutzgründen VPNs verwenden und diese Nutzer möglicherweise blockiert werden könnten. Wir empfehlen, die Blockierungsmeldung in Ihrem Warteraum anzupassen, um legitime Nutzer darauf hinzuweisen, dass sie VPNs deaktivieren sollten, wenn sie Ihre Anwendung nutzen.

IP-Adressen mit mehr als X Sitzungen automatisch sperren#

Im Allgemeinen geht man davon aus, dass eine Sitzung (ein einzelnes CrowdHandler-Token) einer einzigen IP-Adresse zugeordnet ist. Wenn sich viele Token von einer einzigen IP-Adresse aus verbinden, kann dies ein Hinweis auf einen Scraper-Bot oder einen Nutzer sein, der viele Geräte oder anonyme Tabs verwendet. Mit diesem Schieberegler können Sie die zulässige Anzahl von Sitzungen festlegen, die sich von einer einzelnen IP-Adresse aus verbinden dürfen, bevor diese IP-Adresse automatisch blockiert wird. Ein weiterer Grund für viele Verbindungen von einer einzigen IP-Adresse kann sein, dass sich diese IP in einem Unternehmensnetzwerk oder einer akademischen Einrichtung befindet. Wir empfehlen, ein angemessenes Limit festzulegen (z. B. 10) und Ausnahmeregeln für alle IP-Adressen hinzuzufügen, die zu Netzwerken gehören, bei denen Sie davon ausgehen können, dass dort mehrere Sitzungen stattfinden.

Automatische Sperre bei Anomalie-Werten über X#

Mit diesem Schieberegler können Sie IP-Adressen, von denen Sitzungen mit übermäßig hohen Anomaliewerten ausgehen, automatisch sperren. Sie können den Schwellenwert festlegen, bei dessen Überschreitung eine Sperrung ausgelöst wird.

Empfehlungen#

Auf der Registerkarte „Empfehlungen“ werden Ihnen bis zu 20 empfohlene Regeln angezeigt, die Sie der Firewall hinzufügen können. Diese basieren auf Beobachtungen von IP-Clustern, die automatische Sperrungen und Warnungen für Ihre Domain ausgelöst haben.

• Bereich – Dies ist der für die Sperrung empfohlene CIDR-Bereich.
• Länder- und Netzwerksymbole – Wenn Sie mit der Maus darüberfahren, werden die Stadt und der Internetdienstanbieter angezeigt, die mit dem IP-Bereich verbunden sind. Durch Anklicken erhalten Sie detailliertere Informationen.
• Sitzungen – Hier wird die Anzahl der Sitzungen angezeigt, die für diesen IP-Bereich erfasst wurden. Wenn Sie darauf klicken, wird die Registerkarte „Sitzungen“ geöffnet, auf der alle ungewöhnlichen Sitzungen angezeigt werden, die in den letzten sieben Tagen aus diesem Bereich erfasst wurden. Auf diese Weise können Sie sich einen detaillierteren Überblick über das Verhalten verschaffen, das der Empfehlung zugrunde liegt.
• Erste und letzte Erfassung – Diese Daten geben an, wann IP-Adressen innerhalb dieses Bereichs erstmals erfasst und wann sie zuletzt beobachtet wurden.
• Empfehlung / Sperren – Wenn Sie mit der Empfehlung, den Bereich zu sperren, einverstanden sind, klicken Sie auf die Schaltfläche „Sperren“. Eine dauerhafte Sperrregel wird dann auf der Registerkarte „Regeln“ hinzugefügt.
• Ignorieren – Wenn Sie mit der Empfehlung nicht einverstanden sind (z. B. weil Sie der Meinung sind, dass das Netzwerk und das Verhalten mit einem „guten“ Bot übereinstimmen), können Sie auf die Schaltfläche „Ignorieren“ klicken. Dadurch wird auf der Registerkarte „Regeln“ für diesen Bereich eine Ignorierregel hinzugefügt.

Autoblock-Protokoll#

Das Autoblock-Protokoll enthält eine Liste der IP-Adressen, die in den letzten sieben Tagen automatisch gesperrt wurden, sowie den Grund für die Sperrung. Autoblocks gelten standardmäßig nur für eine Stunde. Sie können das Autoblock-Protokoll nutzen, um Meldungen über Fehlalarme zu überprüfen. Wenn Sie auf eine IP-Adresse im Autoblock-Protokollbildschirm klicken, wird der Bildschirm „Sitzungen“ geöffnet, in dem anomale Sitzungen nach IP-Adresse gefiltert angezeigt werden, sodass Sie sehen können, welches Verhalten möglicherweise zu einem Autoblock geführt hat.