Pfsense Pfblockerng dnsbl / ip feeds

[frietvanpiet]

Hierbij een verzameling van actieve feeds die je in pfblockerng kunt gebruiken om je firewall direct flink dicht te kunnen spijkeren.

Mijn systeem
Zelf maak ik gebruik van een Zotac Zbox CI327 met 8GB RAM. Standaard voorzien van 2x GBIT LAN.
Ondanks de grote aantallen domains en ip-adressen die geblokt worden, merk ik zelf geen verschil in laadtijden van webpagina's.
Mocht je onderstaande feeds allemaal in je firewall willen zetten, moet je mogelijk je max aantal bij "Firewall Maximum Table Entries" verhogen.

Voor meer info m.b.t. de bouw of coniguratie van je Pfsense machine, kijk hier:
KRGT in "Zelfbouw project: Firewall / Router / AP (PfSense)"

Vergeet uiteraard niet om Tweakers.net te whitelisten of een abbo te nemen!

Merk je problemen, heb je goede suggeties voor andere feeds of vragen/opmerkingen? Laat een reactie achter!

DNSBL
https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
https://mirror1.malwaredomains.com/files/justdomains
http://sysctl.org/cameleon/hosts
https://zeustracker.abuse.ch/blocklist.php?download=domainblocklist
https://s3.amazonaws.com/lists.disconnect.me/simple_ad.txt
https://adaway.org/hosts.txt
http://pgl.yoyo.org/adservers/serverlist.php?hostformat=hosts&mimetype=plaintext
https://raw.githubusercontent.com/hoshsadiq/adblock-nocoin-list/master/hosts.txt
http://osint.bambenekconsulting.com/feeds/dga-feed.gz
https://gist.githubusercontent.com/BBcan177/4a8bf37c131be4803cb2/raw
https://gist.githubusercontent.com/BBcan177/4a8bf37c131be4803cb2/raw/396eb85f00418569cd5e82f71b9d96275163d970/MS-2
https://www.dshield.org/feeds/suspiciousdomains_High.txt
https://raw.githubusercontent.com/WindowsLies/BlockWindows/master/hostslist
http://www.malwaredomainlist.com/hostslist/hosts.txt
http://winhelp2002.mvps.org/hosts.txt
https://malc0de.com/bl/BOOT
http://someonewhocares.org/hosts/
http://blocklist.greensnow.co/greensnow.txt
https://feodotracker.abuse.ch/blocklist/?download=domainblocklist

Disconnect.me
https://s3.amazonaws.com/lists.disconnect.me/simple_tracking.txt
https://s3.amazonaws.com/lists.disconnect.me/simple_malvertising.txt
https://s3.amazonaws.com/lists.disconnect.me/simple_malware.txt
https://s3.amazonaws.com/lists.disconnect.me/simple_ad.txt

MalwareBytes HpHosts
https://hosts-file.net/ad_servers.txt
https://hosts-file.net/emd.txt
https://hosts-file.net/exp.txt
https://hosts-file.net/fsa.txt
https://hosts-file.net/grm.txt
https://hosts-file.net/hfs.txt
https://hosts-file.net/hjk.txt
https://hosts-file.net/mmt.txt
https://hosts-file.net/pha.txt
https://hosts-file.net/psh.txt
https://hosts-file.net/pup.txt
https://hosts-file.net/wrz.txt

Abuse.ch ransomwaretracker
https://ransomwaretracker.abuse.ch/downloads/RW_DOMBL.txt
https://ransomwaretracker.abuse.ch/downloads/RW_URLBL.txt

University Toulouse
http://dsi.ut-capitole.fr/capitole_fr_allblacklists/download/blacklists_for_pfsense.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/ads.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/adult.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/aggressive.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/arjel.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/associations_religieuses.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/astrology.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/audio-video.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/bank.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/bitcoin.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/blog.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/celebrity.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/chat.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/child.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/cleaning.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/cooking.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/cryptojacking.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/dangerous_material.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/dating.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/ddos.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/dialer.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/download.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/drugs.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/filehosting.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/warez.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/violence.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/porn.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/phishing.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/mixed_adult.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/marketingware.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/manga.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/malware.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/hacking.tar.gz
http://dsi.ut-capitole.fr/blacklists/download/gambling.tar.gz

IP feeds

https://github.com/stevebeer/ipblocklist/raw/master/hosts-ip.txt
https://www.dan.me.uk/torlist/?exit
https://sslbl.abuse.ch/blacklist/dyre_sslipblacklist_aggressive.csv
https://sslbl.abuse.ch/blacklist/dyre_sslipblacklist.csv
https://sslbl.abuse.ch/blacklist/sslipblacklist.csv
https://sslbl.abuse.ch/blacklist/sslipblacklist_aggressive.csv
https://zeustracker.abuse.ch/blocklist.php?download=badips
https://zeustracker.abuse.ch/blocklist.php?download=ipblocklist
https://rules.emergingthreats.net/fwrules/emerging-Block-IPs.txt
https://rules.emergingthreats.net/blockrules/compromised-ips.txt
http://malc0de.com/bl/IP_Blacklist.txt
https://feodotracker.abuse.ch/blocklist/?download=badips
https://feodotracker.abuse.ch/blocklist/?download=ipblocklist
http://www.binarydefense.com/banlist.txt
https://ransomwaretracker.abuse.ch/downloads/RW_IPBL.txt

[ Voor 2% gewijzigd door frietvanpiet op 28-06-2018 13:01 . Reden: added github stevebeer ]

[frietvanpiet]

Update 14-06-2018:
Toegevoegd: https://www.dan.me.uk/torlist/?exit
Zijn alle Tor exit nodes. Automatisch elke 30min gegenereerd.

[ Voor 86% gewijzigd door frietvanpiet op 14-06-2018 23:19 . Reden: added https://www.dan.me.uk/torlist/?exit ]

[Vorkie]

Vorkie in "Zelfbouw project: Firewall / Router / AP (PfSense)"

Mogelijk kan je dit ook in dat topic plaatsen, dan blijft het bij elkaar

[pauloo7]

frietvanpiet schreef op zondag 8 april 2018 @ 08:18:
Hierbij een verzameling van actieve feeds die je in pfblockerng kunt gebruiken om je firewall direct flink dicht te kunnen spijkeren.

Mijn systeem:
Zelf maak ik gebruik van een Zotac Zbox CI327 met 8GB RAM. Standaard voorzien van 2x GBIT LAN.
Ondanks de grote aantallen domains en ip-adressen die geblokt worden, merk ik zelf geen verschil in laadtijden van webpagina's.
Mocht je onderstaande feeds allemaal in je firewall willen zetten, moet je mogelijk je max aantal bij "Firewall Maximum Table Entries" verhogen.

Ik wil er eens mee aan de gang gaan maar wat is dan de juiste waarde voor Firewall Maximum Table Entries
Heb hem nu van 2000000 naar 10000000 gezet maar geen idee of dit voldoende is.

[Kabouterplop01]

Dat ligt denk ik een beetje aan de hoeveelheid geheugen die je in je machine hebt zitten.

[frietvanpiet]

Het gaat er over uit dat de hoeveelheid 'Table Entries' die vanuit je pfblocker feed-lijsten geladen worden, in je geheugen passen.
Bij mijn systeem stond dit standaard op 2000000. Dat was voor mij net te krap. Bij de instelling Advanced -> firewall & NAT -> Firewall Maximum Table Entries, heb ik dit verhoogd naar 3000000.

Pfsense zou normaliter de max zelf bepalen aan de hand van de hoeveelheid RAM. Dit heb ik dus handmatig via die instelling verhoogd.

[frietvanpiet]

Er stond abusievelijk een IP-feed bij DNSBL, te weten:
https://ransomwaretracker.abuse.ch/downloads/RW_IPBL.txt

Deze is naar IP-feeds verhuisd.

[Room42]

Mooie verzameling, thanks! Misschien kun je voor het gebruikersgemak de URL's tussen [norml]...[/norml] of [code]...[/code]-tags plaatsen. De URL's worden dan niet meer afgekort en daarmee makkelijker te kopieren (maar zijn helaas ook niet klikbaar).

[frietvanpiet]

Room42 schreef op vrijdag 13 april 2018 @ 22:30:
Mooie verzameling, thanks! Misschien kun je voor het gebruikersgemak de URL's tussen [norml]...[/norml] of [code]...[/code]-tags plaatsen. De URL's worden dan niet meer afgekort en daarmee makkelijker te kopieren (maar zijn helaas ook niet klikbaar).

Bedankt voor de tip! Heb het direct aangepast.
Heb je zelf nog feeds die goed functioneren en nog niet in het lijstje staan?
Plaats ze in een reactie, dan zal ik die toevoegen.

[DeTjuk]

Heb je hier wat aan? https://easylist.to

Heb niet op dubbele gecheckt.

[Room42]

DeTjuk schreef op zaterdag 14 april 2018 @ 18:38:
Heb je hier wat aan? https://easylist.to

Heb niet op dubbele gecheckt.

Die wordt al door pfBlockerNG ondersteund via een ingebouwde functie.

[DeTjuk]

Room42 schreef op zaterdag 14 april 2018 @ 18:50:
[...]

Die wordt al door pfBlockerNG ondersteund via een ingebouwde functie.

Onder de feeds tab bedoel je. Wist niet dat dat overeen kwam.

[DeTjuk]

Ik ben me nog aan het verdiepen in pfblockerng, maar in welke situatie zou je Kill States willen hebben aanstaan.

Dat doet dit: When 'Enabled', after a cron event or any 'Force' commands, any blocked IPs found in the Firewall states will be cleared.

Je wilt toch juist dat de boel geblokkeerd blijft?

[Vorkie]

DeTjuk schreef op zaterdag 14 april 2018 @ 20:41:
Ik ben me nog aan het verdiepen in pfblockerng, maar in welke situatie zou je Kill States willen hebben aanstaan.

Dat doet dit: When 'Enabled', after a cron event or any 'Force' commands, any blocked IPs found in the Firewall states will be cleared.

Je wilt toch juist dat de boel geblokkeerd blijft?

Ja dus actieve verbindingen naar een, na update geblokkeerd ip, worden dan afgebroken en kunnen dan niet opnieuw worden opgebouwd.

Standaard blijft die verbinding gewoon actief.

[DeTjuk]

aah, dus dat wil je wel aan hebben staan. Ik las het dus verkeerd qua werking. Thanks!

[Zenix]

Pi-hole is vergelijkbaar (qua DNSBL)

Zenix in "\[Pi-Hole] Ervaringen & discussie"

[InflatableMouse]

Dank! Er zweven veel lijsten en guides, wellicht iemand die wat meer wilt doen heeft hier nog wat aan:
https://supratim-sanyal.b...-ultimate-list-of-ip.html
https://www.linuxincluded...-using-pfblockerng-dnsbl/
https://www.linuxincluded.com/using-pfblockerng-on-pfsense/

Verder:
http://dsi.ut-capitole.fr...klists_for_pfsense.tar.gz --> dooie link

https://ransomwaretracker.abuse.ch/downloads/RW_DOMBL.txt heeft met de overige links alleen maar dups:
[ RW_DOMBL ] Downloading update .. 200 OK.
----------------------------------------------------------------------
Orig. Unique # Dups # White # Alexa Final
----------------------------------------------------------------------
1899 1899 1899 0 0 0

Deze twee zijn hetzelfde:
https://gist.githubuserco.../4a8bf37c131be4803cb2/raw
https://gist.githubuserco...82f71b9d96275163d970/MS-2

Deze staat onder DNSBL en onder Disconnect.me:
https://s3.amazonaws.com/lists.disconnect.me/simple_ad.txt

Verder die University Toulouse is veel meer dan alleen malware/tracking/etc. Ik weet niet of iedereen zich dat realiseert maar dat zijn complete categorieen, gokken, hacken,cooking,banking. De categorie staat in de filenaam.tar.gz. Ze zijn bovendien erg groot en duren bij mij (400mbit) soms minuten om te downloaden en te verwerken. Uitleg over deze blocklists is hier te vinden:
http://dsi.ut-capitole.fr/blacklists/index_en.php

[ Voor 59% gewijzigd door InflatableMouse op 17-05-2018 19:20 ]

[frietvanpiet]

In Topicstart nieuwe IP-lijst toegevoegd:

https://github.com/steveb...t/raw/master/hosts-ip.txt

Dit is een lijst die ik handmatig bijwerk. Hierin zitten vooral ip-adressen die ongeoorloofd contact proberen te maken met webserver, ssh-server.
Denk aan pogingen tot hack, brute-force en portscans.

[frietvanpiet]

Update:
https://github.com/steveb...t/raw/master/hosts-ip.txt

Inmiddels 3613 ip-adressen verzameld.
Deze zijn vooral afkomstig van ongewenste benaderingen naar mijn webserver.

[ Voor 25% gewijzigd door frietvanpiet op 18-07-2018 01:21 . Reden: update ]