Zdroje
Blacklisting IP adres: které seznamy jsou důležité, jak funguje vyřazení a kolik stojí
IP blocklist neboli blacklist je seznam adres, které přijímající systémy odmítají nebo k nim přistupují s podezřením, nejčastěji proto, že odesílaly spam nebo vykazují známky kompromitace. Některé seznamy pokrývají celé rozsahy nebo sítě místo jednotlivých adres a záznam může u adresy zůstat i po přechodu k dalšímu držiteli, takže historie bloku je stejně důležitá jako jeho používání. Většina záznamů skončí zdarma, jakmile příčina ustane.
Jak blacklist funguje
Většina blacklistů odpovídá přes DNS. Poštovní server, který přijme spojení z 192.0.2.99, se seznamu zeptá na 99.2.0.192. následované zónou seznamu: odpověď jako 127.0.0.2 znamená zapsáno, žádná odpověď znamená nezapsáno a textový záznam obvykle uvádí důvod, který se často objeví ve zprávě o odmítnutí. Konvenci popisuje RFC 5782.
Ne všechno, čemu se říká blacklist, funguje takto:
| Druh | Jak odpovídá | Příklady |
|---|---|---|
| DNS blacklist | Zapsáno, nebo ne, pro adresu nebo rozsah | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Skóre reputace | Odstupňované skóre | Cisco Talos; AbuseIPDB, od 0 do 100 |
| Threat feed | Seznam, podle kterého firewally a routery zahazují veškerý provoz, nejen poštu | Spamhaus DROP, Spamhaus BCL |
| Klasifikace | Označení jako hosting, VPN nebo proxy, ne soud o zneužití | Data MaxMind o anonymních IP, seznam poskytovatelů hostingu v AWS WAF |
Pronajatý prostor nejčastěji narazí na poslední druh. Blok bez jakéhokoli záznamu o zneužití může být přesto označen jako hostingový prostor a odmítnut streamovací službou nebo webem za firewallem, který podle tohoto označení filtruje.
Proč se adresa dostane na seznam
| Příčina | Seznamy, které plní |
|---|---|
| Pošta do spamových pastí (spam traps) | UCEPROTECT Level 1, PSBL, Abusix |
| Příjemci hlásí poštu jako spam | SpamCop |
| Kompromitovaný stroj: malware, brute-force přihlašování, proxy aplikace | Spamhaus XBL, Abusix |
| Hromadná pošta s nízkou reputací, špatná hygiena seznamů, chybně nastavený server | Spamhaus CSS, invaluement |
| Spamové operace a hosting, který je podporuje | Spamhaus SBL, který může záznam rozšířit na celou síť |
| Rozsahy převzaté nebo pronajaté kriminálními operacemi | Spamhaus DROP a jeho seznam ASN |
| Prostor koncových uživatelů, který by neměl odesílat poštu přímo | Spamhaus PBL, který o svých záznamech říká, že jsou „not necessarily 'bad'“ (překlad: „nejsou nutně ‚špatné‘“) |
| Skenování portů a útoky na vlastní síť seznamu | UCEPROTECT Level 1 |
| Brute-force a jiné útoky hlášené zapojenými servery | blocklist.de |
| Chování předchozího držitele | Každý seznam, který záznam nesmazal |
Jednotlivé adresy, rozsahy a celé sítě
Většina seznamů uvádí jednotlivé adresy. Několik pracuje ve větším měřítku:
- Spamhaus SBL zapisuje „both individual IPs and IP ranges“ (překlad: „jak jednotlivé IP, tak rozsahy IP“) a může záznam rozšířit na vlastní infrastrukturu sítě.
- Spamhaus PBL a DROP zapisují rozsahy.
- UCEPROTECT Level 2 zapíše celou alokaci, jakmile během sedmi dnů nasbírá dost zásahů na Level 1: u /24 čtyři, u menší méně, až po jediný zásah pod /27.
- UCEPROTECT Level 3 zapíše každou adresu announcovanou z ASN s příliš mnoha záznamy, takže tentýž blok může být pod jednou sítí zapsaný a pod jinou čistý.
- invaluement má seznam celých /24.
Čistý blok tedy může být zapsán kvůli svým sousedům nebo síti, která ho announcuje.
Seznamy, na kterých v roce 2026 záleží
| Seznam | Jak záznam skončí |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: o odstranění může požádat jen provozovatel sítě. CSS: zhruba tři dny po posledním spamu, nebo samoobslužným odstraněním. XBL: automaticky, jakmile chování ustane. Nikdy za poplatek |
| Barracuda BRBL | Žádost o odstranění, obvykle vyřízená do 12 hodin |
| SpamCop, provozuje Cisco | Automaticky, 24 hodin po posledním hlášení |
| UCEPROTECT Level 1 až 3 | Level 1: sedm dní po posledním zásahu spamové pasti. Level 2 a 3: jakmile kritéria přestanou platit. Rychlejší odstranění za poplatek |
| Microsoft blokovaní odesílatelé | Samoobsluha na jeho delist portálu, což může trvat až 24 hodin i déle |
| Proofpoint a Cloudmark | Žádost přes jeho vyhledávání |
| Abusix | Samoobsluha po registraci; jinak záznamy vyprší zhruba pět dní po poslední špatné události |
| Mailspike | Formulář žádosti, vyřízený do 6 až 36 hodin |
| PSBL | Adresu může odstranit kdokoli, zdarma |
| AbuseIPDB, provozuje Marathon Studios | Skóre z hlášení uživatelů, které časem klesá; vyřazení neexistuje |
| blocklist.de | Stránka pro vyřazení |
Seznamy zanikají a slučují se. SORBS byl ukončen 5. června 2024, NiX Spam skončil v lednu 2025, CBL se v roce 2021 stal součástí Spamhaus XBL, Spamhaus 10. dubna 2024 začlenil EDROP do DROP a jeho Blocklist Removal Center je od 4. března 2021 IP and Domain Reputation Checker. Nástroj, který stále hlásí SORBS, je zastaralý.
Jak se dostat ze seznamu
- Nejdřív najděte příčinu a zastavte ji. Žádost za adresu, která stále odesílá spam, je odmítnuta a opakované žádosti se často ignorují.
- Použijte vlastní postup seznamu z tabulky výše. Seznam, který uvádí síť, například záznam v SBL, přijímá žádost od provozovatele sítě, ne od koncového uživatele.
- Neplaťte třetí straně. Spamhaus nikdy nic neúčtuje a uvádí, že každá nabídka odstranit záznam ve Spamhausu za poplatek je podvod. Kde poplatek existuje, prodává ho seznam sám: UCEPROTECT účtuje 89 CHF za okamžité vyřazení jedné adresy z Level 1, 249 CHF za alokaci a 449 CHF za ASN, vše volitelné, protože záznamy vyprší i zdarma.
- Počkejte na vlastní lhůtu seznamu. SpamCop maže po 24 hodinách, Spamhaus CSS zhruba po třech dnech, Abusix zhruba po pěti, UCEPROTECT Level 1 po sedmi.
Kontrola bloku
| Nástroj | Co kontroluje |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Všechny seznamy Spamhausu, pro IPv4, IPv6 i domény |
| MxToolbox | Přes sto DNS blacklistů, s monitoringem v placených plánech |
| MultiRBL | Stovky seznamů, pro IPv4, IPv6 i domény |
| HetrixTools | Zhruba 60 seznamů IP, jen IPv4, s monitoringem od jedné kontroly denně |
| UCEPROTECT | Své tři úrovně a zda je zapsán rozsah nebo ASN |
| AbuseIPDB | Hlášení proti adrese a přes API i celou /24 najednou |
| Microsoft SNDS | Data Outlook.com pro adresy, u kterých jste prokázali, že je ovládáte |
Kontrolujte přes vlastní resolver: Spamhaus na dotazy přicházející přes veřejné DNS resolvery odpovídá 127.255.255.254, což je odmítnutí, ne záznam. Než blok převezmete, zkontrolujte každou adresu v něm, rozsah i síť, která ho bude announcovat; co dalšího sledovat, najdete v článku kontrola bloku před nákupem a jak ho udržet čistý v článku správa reputace IP.
Jak často kontrolovat
Žádná norma interval nestanoví, takže ten náš vychází z toho, jak dlouho záznamy trvají. Alespoň jednou denně: SpamCop maže záznam po dni a Spamhaus CSS zhruba po třech, takže týdenní kontrola ho může zcela minout. Každých několik hodin u adres, které odesílají poštu. Nejdůležitější je, aby se nový záznam dostal k někomu, kdo na něj zareaguje.
Kde se uplatní RTM Networks
Každou IPv4 adresu, kterou držíme, průběžně kontrolujeme proti více než 10 blacklistům. Blok, který vám pronajmeme, je zkontrolován dříve, než ho dostanete, a monitorován po celou dobu, kdy ho máte, a bloky monitorujeme i pro jiné firmy, s přehledem jejich záznamů: viz monitoring blacklistů, a pokud ho chcete pro své, napište nám.
Kontakt
Chcete udržet svůj prostor IP čistý?
Napište nám, které rozsahy chcete monitorovat a jak se mají hlášení o zneužití směrovat k vašim klientům. Obvykle odpovídáme do 1 až 3 pracovních hodin.
