Schluss mit Mythen über Blocklists

1. Blocklists sind eine alte Technologie

Den Bereitstellungsmechanismus für DNSBLs gibt es tatsächlich schon ein paar Jahre. Die Threat Intelligence in den Blocklists wird jedoch anhand der aktuellen Bedrohungen kontinuierlich aktualisiert, wie auch die Art und Weise der Recherche und Veröffentlichung dieser Daten.

Praxisbewährt

Es gibt einen großen Unterschied zwischen „in die Jahre gekommen“ und „praxisbewährt“. Es ist nicht zu leugnen, dass der Mechanismus zur Bereitstellung von Blocklist-Daten, nämlich per DNS-Zone, schon Jahrzehnte alt ist.  Tatsächlich wurde die erste DNSBL schon 1997 von Eric Ziegast erstellt, der zusammen mit dem MAPS-Gründer Paul Vixie im gleichnamigen Unternehmen tätig war.

Trotzdem, und das ist ein großes TROTZDEM, sind DNSBLs ein leichter, robuster und praktischer Echtzeit-Bereitstellungsmechanismus für Reputationsdaten im Zusammenhang mit IP-Adressen, Domains und Inhalten.  Sie werden kontinuierlich weiterentwickelt, um bösartige Online-Aktivitäten zu bekämpfen.

Neue Recherchetechnologien

In den Anfängen waren für die Erstellung von Blocklists stundenlange und mühselige manuelle Recherchen sowie heuristische Methoden erforderlich.  Heute sind wir dank maschinellen Lernens in der Lage, immer größere Datenmengen zu verarbeiten, auch wenn unser Rechercheteam zusätzlich weiterhin manuelle Untersuchungen durchführt und Heuristik anwendet.

Auch die Art der so erstellten Datensätze entwickelt sich weiter.  Zusätzlich zu IP- und Domain-Reputationsdaten werden Hash Blocklists zusammengestellt, um spezifische Inhalte wie E-Mail-Adressen, Malware-Dateien und Cryptowallet-Adressen auflisten zu können.

Durch den Einsatz neuer Tools und Technologien können wir ständig neue Angreifer und bösartiges Verhalten aufdecken und gleichzeitig die Quote an falsch positiven Ergebnissen begrenzen.  Wir wenden erhebliche Ressourcen dafür auf, unsere Kapazitäten für die Jagd auf Bedrohungen auszubauen, damit unsere Kunden sich auf andere Dinge konzentrieren können.

Während der Bereitstellungsmechanismus der DNSBLs zu Recht als „alt“ bezeichnet werden kann, sind die darin enthaltenen Daten tatsächlich das Ergebnis sorgfältiger Recherche und hochmoderner Technologien und Techniken, um IP-, Domain-, und Content-Reputationsdaten zu liefern, die vor den aktuellen Bedrohungen schützen.

2. Blocklists stoppen nur Spam

Keinesfalls. DNSBLs können alle Arten von Bedrohungen filtern, die per E-Mail verbreitet werden, wie beispielsweise Phishing-Links, Malware-Dateien, Bots und URLs zu Malware Dropper Sites. Spam ist nur die Spitze des Eisbergs.

Zur Erklärung   

Definieren wir als Erstes, was Spam ist. Natürlich sprechen wir hier nicht von dem traditionellen Fleischprodukt der US-Marke gleichen Namens.  Wir sprechen von Massen-E-Mails, die unaufgefordert an eine große Zahl von Empfängern verschickt werden.

Für die meisten Menschen ist „Spam“ der Oberbegriff für die Myriaden anrüchiger E-Mails, mit denen Pillen, Sex, Listen und andere unerwünschte Dinge verkauft werden sollen.

E-Mail ist jedoch auch ein Vektor für andere anrüchige Machenschaften wie Malware-Dateien (94 % aller Malware-Dateien werden per E-Mail übermittelt), Ransomware, Phishing-Websites und so weiter – die Liste ließe sich endlos fortsetzen. Blocklists können das Risiko solcher Bedrohungen mindern, und sie können noch mehr.

Malware-Dateien blockieren

E-Mails mit Malware-Anhängen können mit der Malware-Komponente der vorhin erwähnten Hash Blocklist blockiert werden. In dieser Liste sind die kryptografischen Hashes von Malware-Dateien aufgeführt. Das Rechercheteam von Spamhaus kann Malware-Dateien innerhalb von 20 Sekunden nach der ersten Beobachtung auflisten.

Domains blockieren

Domain Blocklists (DBL) enthalten Listen von Domains, die nicht nur mit dem Versand von Spam, sondern auch mit Phishing, Malware und Botnet Command-and-Controllers (C&Cs) in Verbindung gebracht werden.

Beeinträchtigte Rechner blockieren

Unsere eXploits Blocklist (XBL) führt nur IP-Adressen auf (ca. 13 Millionen), die Anzeichen für eine Beeinträchtigung zeigen, d. h. Rechner, die mit Malware, Würmern oder Trojanern infiziert sind oder von Dritten missbräuchlich genutzt werden, wie Open Proxies oder von Botnets kontrollierte Geräte.

Bestimmt haben Sie bemerkt, dass in der kompletten Aufzählung von Internet-Übeltätern das Wort „Spam“ nicht einmal genannt wurde.  Wenn ein Rechner beeinträchtigt ist, ist es ziemlich wahrscheinlich, dass weitere kriminelle Aktivitäten folgen werden, z. B. der Versand von E-Mails mit Malware-Anhängen an alle im Adressbuch gespeicherten Kontakte oder das Herunterladen von Anmelde- und Finanzdaten.

Reicht Ihnen das?

Wir könnten die Liste immer weiter fortsetzen, doch unser Argument, dass Blocklists weitaus mehr als nur Spam filtern, ist vermutlich bei Ihnen angekommen!

3. Wenn Einträge in der Blocklist ankommen, ist es schon zu spät

Der Glaube, dass Blocklists nur reaktiv sind, d. h. dass eine IP, Domain oder ein Hash erst dann in die Liste aufgenommen wird, wenn bösartiges Verhalten beobachtet wurde, ist ein Irrglaube.

Spamhaus wendet enorm viel Zeit dafür auf, Internetumgebungen und -ressourcen zu untersuchen.  Unsere Spezialisten achten permanent auf Anzeichen, die darauf hinweisen, dass eine Domain kurz davor steht, sich an bösartigen Aktivitäten zu beteiligen.  Hier sind einige Beispiele für vorausschauende Blocklists:

Gekaperte IP-Bereiche

Wenn wir einen gekaperten IP-Adressbereich beobachten, bedeutet das (fast) immer, dass bösartige Aktivitäten im Zusammenhang mit diesem Bereich folgen werden. Daher listen wir den entsprechenden IP-Bereich auf, um so verbreitete potenzielle Angriffsvektoren zu blockieren.

Schlechte Domain-Reputation

Spamhaus erhält Domain-Listen, sobald Domains registriert wurden, und wir untersuchen sie dann vorausschauend.  Anhand dieser Analysen bewerten unsere Spezialisten die Domain-Reputation und schätzen ein, wie wahrscheinlich es ist, dass sie in bösartiger Absicht genutzt wird. Solche Domains werden dann gelistet, bevor sie live gehen.

Neu registrierte Domains

Unsere Zero Reputation Blocklist (ZRD) listet alle neu registrierten Domains 24 Stunden lang auf.  Wenn eine neue Domain zum ersten Mal registriert wird, ist es unwahrscheinlich, dass direkt E-Mails von ihr versandt werden – es sei denn, sie wird von Angreifern genutzt, die Hunderte und Tausende von Domains registrieren und „verbrennen“.

IP-Bereiche, die keine E-Mail versenden sollten

Die von Spamhaus unterstützte Policy Blocklist (PBL) versetzt Internet-Serviceprovider (ISP) in die Lage, Bereiche von IP-Adressen zu listen, die keinesfalls E-Mails direkt an das Internet senden sollten.  Dies ist eine rein vorausschauende Blocklist.

Auch die Reaktion auf Angriffe bietet noch Schutz

Spamhaus hat eine geringe Latenz, das heißt, wenn Angriffe auftreten, erscheint die IP, die Domain oder der Hash innerhalb von weniger als 20 Sekunden in der Liste.  Bei großen, besonders üblen Kampagnen können unsere Daten die Nutzer, die direkt zu Beginn Opfer des Angriffs werden, möglicherweise nicht schützen. Vor Hailstorm-Kampagnen, die bis zu fünf Minuten lang dauern, werden allerdings 90 % der Betroffenen geschützt.

4. Alle Blocklists sind gleich

Das ist in mehrerer Hinsicht nicht zutreffend. Wenn Sie unseren Text bis hier verfolgt haben, haben Sie schon gemerkt, dass keine Blocklist wie die andere ist.  Jede hat eigene Listenrichtlinien, d. h. eigene Kriterien, anhand derer entschieden wird, ob ein Objekt gelistet werden sollte oder nicht.  Auch die Organisationen, welche die Blocklists recherchieren und zusammenstellen, sind nicht immer die gleichen. Auch wenn es relativ einfach ist, eine Blocklist zu starten, ist es schwierig (aber unverzichtbar!), sie konsequent zu pflegen.

Unterschiedliche Bedrohungen und unterschiedliche Orte, an denen die Daten angewendet werden

Da jede Blocklist einen anderen Fokus hat, müssen sie in der richtigen Phase des E-Mail-Vorgangs angewendet werden. Würde die PBL beispielsweise für die Header-Syntaxanalyse angewendet, wäre die Katastrophe vorprogrammiert. Befolgen Sie unsere Best Practices, um sicherzustellen, dass Sie unsere Blocklists richtig implementieren.

Unterschiedliche Risiken benötigen unterschiedliche Blocklists

Vergewissern Sie sich, dass Sie die Funktionalität jeder Blocklist verstehen, die Sie einsetzen.  Spamhaus hat beispielsweise einen sogenannten „Abused legit“-Abschnitt in der DBL.  Hier werden gehackte legitime Ressourcen aufgeführt.  Sie können wählen, ob Sie die Abfrage-Ergebnisse aus diesem Teil der DBL ignorieren oder beachten möchten. Allerdings müssen Sie wissen, dass dies möglicherweise Ihr Risiko für falsch positive Ergebnisse erhöht.  Sie müssen die Risikobereitschaft Ihres Unternehmens gegen die betrieblichen Probleme, die mit einer höheren Anzahl falsch positiver Ergebnisse verbunden sind, sorgfältig abwägen.

Konsequenz ist alles

In Bezug auf Blocklists müssen Provider unbedingt konsequent handeln.  Bei jeder Listung müssen kontinuierlich tagein, tagaus die jeweiligen Richtlinien beachtet werden, was nicht immer leicht ist.

5. Es reicht, Blocklists nur während der SMTP-Transaktion zu verwenden

Das ist falsch! Angenommen, Sie verwenden Blocklists nur während der SMTP-Transaktion. In diesem Fall versäumen Sie die Gelegenheit, viele Elemente wie URLs, Reply-To-E-Mail-Adressen, als Anhänge versendete Dateien und so weiter anhand der Reputationsdaten zu überprüfen.

Zwar werden tatsächlich 95 % der Spam-Mails in der SMTP-Phase blockiert – doch ein kleiner Teil an Nachrichten mit Bedrohungen könnte trotzdem durch das Netz schlüpfen.

6. Blocklists sollten nur während der Inhaltsanalyse verwendet werden

Nein!  Wenn Sie Blocklists nur während der Inhaltsanalyse anwenden, vergeben Sie die Chance, den überwältigenden Großteil (denken Sie an die o. g. 95 %) der unerwünschten Mails direkt beim Aufbau der IP-Verbindung und während der SMTP-Transaktion noch vor der Übermittlung von Daten zu stoppen.

Wenn Sie bösartige E-Mails stoppen, bevor sie die kostspielige Inhaltsfilterphase erreichen, können Sie Bandbreite und Speicherplatz sparen, die Anzahl offener Verbindungen erheblich verringern und von niedrigeren Anforderungen an Arbeitsspeicher und CPU-Leistung profitieren.

7. Nur IP-Blocklists sollten zum Filtern von E-Mails während der SMTP-Transaktion angewendet werden

Auf gar keinen Fall!  Wie schon erwähnt listet Spamhaus eine Reihe von Domains bereits auf, bevor sie überhaupt live gehen.  Daher bietet die Abfrage der DBL und ZRD in den jeweiligen Phasen der SMTP-Transaktion einen zusätzlichen vorausschauenden Schutz.

Mit welchem Mythos sollen wir noch aufräumen?

Für heute haben wir genug Mythen entkräftet.  Wenn Sie noch andere Mythen im Zusammenhang mit Blocklists und Spamhaus kennen, schreiben Sie uns per Twitter oder LinkedIn – wir freuen uns schon darauf, noch mehr Fabeln zu entlarven.