WMX IP Feeds – репутационная база IP¶

IP Feeds – репутационные данные об IP-адресах, замеченных в атаках на защищаемые ресурсы заказчиков WMX. Репутационная база WMX TI позволяет учитывать оценку угрозы IP-адреса при работе со списками IP в ПроWAF.

Доступность

Требует подключения платной лицензии «Репутационная база IP» в подписке.

Подключение¶

Откройте в личном кабинете Списки IP → Конфигурация источников.
Найдите блок Репутационная база WMX IP Feeds.
Выберите режим В серый список или В черный список.

Выберите, в каком списке учитывать адреса из репутационной базы WMX IP Feeds. Поведение и условия применения описаны в инструкциях Серый список IP-адресов и Черный список IP-адресов. Приоритеты правил описаны в разделе Типы и логика работы списков IP-адресов.

Если в подписке отсутствует опция «Репутационная база IP», включение недоступно.

Проверка IP-адреса¶

После включения репутационной базы в Списках IP становится доступна кнопка Проверить IP. Нажмите её, чтобы открыть окно проверки, и введите IP-адрес.

Сведения	Что отображается
Страна	Страна IP-адреса, если данные доступны
Датацентр	Сведения о датацентре, если данные доступны
Тип прокси	Тип прокси, если данные доступны
WMX IP Feeds	Дата обновления используемой базы, если адрес найден с признаком WMX IP Feeds; иначе — «Данные не найдены»

Дата в блоке WMX IP Feeds относится к обновлению IP-базы, а не ко времени последней атаки с адреса. Отсутствие признака WMX IP Feeds не гарантирует безопасность адреса.

Исключение адреса для вашей организации¶

Снять признак угрозы WMX IP Feeds для своего клиента можно через клиентский CSV в разделе Списки IP → Конфигурация источников. Для этого используется необязательная колонка threat со значением CLEAR.

Исключение снимает признак угрозы WMX IP Feeds только для вашего клиента. Сведения о стране, датацентре и типе прокси сохраняются. При необходимости их можно задать в той же строке. Это не добавление в белый список: запросы могут блокироваться по другим правилам IP-списков или из-за обнаруженной атаки. Для снятия только признака WMX IP Feeds используйте CLEAR; REMOVE удаляет всю запись вместе с другими сведениями.

Пример для одного IPv4-адреса¶

cidr,country,datacenter,proxy_type,threat
44.210.111.146/32,,,,CLEAR

Возьмите актуальный CSV, который используется для вашей организации.
Добавьте колонку threat, если её ещё нет, и строку с нужным адресом и значением CLEAR.
Сохраните остальные записи и загрузите полный файл в личном кабинете.
Дождитесь обработки файла и доставки обновления на ноду.

Важно

Загружаемый файл целиком заменяет предыдущий. После обработки файл не хранится, скачать текущую версию из личного кабинета нельзя – храните актуальную копию у себя.

Требования к CSV¶

Параметр	Требование
Заголовки	`cidr`, `country`, `datacenter`, `proxy_type`, `threat`; колонки определяются по заголовкам в первой строке
Порядок колонок	Любой
Адрес	Маска обязательна: `/32` для одного IPv4-адреса, маска подсети — для подсети
Значение `threat`	Единственное допустимое значение — `CLEAR`
Исключение подсети	`CLEAR` снимает признак угрозы WMX IP Feeds со всех адресов указанной подсети
Совместное использование с `REMOVE`	При `proxy_type=REMOVE` запись удаляется целиком: `REMOVE` имеет приоритет над `CLEAR`

Если вы повторно загрузите файл без строки исключения, это исключение пропадёт.

Если CSV подключён по ссылке¶

Добавьте исключение в исходный файл, доступный по настроенной ссылке.

Загрузка CSV через личный кабинет заменит ссылку на внешний файл. Автоматические обновления по этой ссылке прекратятся.

Когда применяется исключение¶

Репутационная база обновляется ежедневно.

Исключение начнёт действовать после обработки файла, пересборки базы, её доставки и применения на ноде. Обновление не мгновенное и может занять некоторое время.

Особенность партнёрских установок¶

В партнёрской установке исключение добавляется в CSV технического тенанта, чью базу скачивает нода, и распространяется на всех клиентов партнёра на этой ноде. Для такого изменения обратитесь к партнёру или в поддержку.

После применения такого исключения «Проверка IP» у клиента партнёра может продолжать показывать признак WMX IP Feeds. Само по себе это не означает, что исключение не сработало.