Ressourcer
IP-blacklisting: hvilke lister der tæller, hvordan delisting virker, og hvad det koster
En IP-blocklist eller blacklist er en liste over adresser, som modtagende systemer afviser eller behandler med mistanke, oftest fordi de har sendt spam eller viser tegn på at være kompromitteret. Nogle lister dækker hele intervaller eller netværk i stedet for enkelte adresser, og en listning kan følge en adresse, når den går videre til næste indehaver, så en bloks historik betyder lige så meget som dens brug. De fleste listninger ophører gratis, når årsagen er stoppet.
Sådan virker en blocklist
De fleste blocklists svarer over DNS. En mailserver, der modtager en forbindelse fra 192.0.2.99, spørger listen om 99.2.0.192. efterfulgt af listens zone: et svar som 127.0.0.2 betyder listet, intet svar betyder ikke listet, og en tekstpost giver som regel årsagen, som ofte havner i afvisningsbeskeden. RFC 5782 beskriver konventionen.
Ikke alt, der kaldes en blacklist, virker sådan:
| Type | Hvordan den svarer | Eksempler |
|---|---|---|
| DNS-blocklist | Listet eller ej, pr. adresse eller interval | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Omdømmescore | En graderet score | Cisco Talos; AbuseIPDB, fra 0 til 100 |
| Trusselsfeed | En liste, som firewalls og routere bruger til at droppe al trafik, ikke kun mail | Spamhaus DROP, Spamhaus BCL |
| Klassificering | En mærkat som hosting, VPN eller proxy, ikke en vurdering af misbrug | MaxMinds anonymous IP-data, AWS WAF's liste over hostingudbydere |
Lejet adresserum støder oftest på den sidste type. En blok uden historik med misbrug kan stadig være mærket som hostingadresserum og blive afvist af en streamingtjeneste eller et website bag en firewall, der filtrerer på den mærkat.
Hvad der får en adresse listet
| Årsag | Lister, den fodrer |
|---|---|
| Mail til spamfælder | UCEPROTECT Level 1, PSBL, Abusix |
| Modtagere, der rapporterer mail som spam | SpamCop |
| En kompromitteret maskine: malware, brute force-logins, en proxy-app | Spamhaus XBL, Abusix |
| Massemail med lavt omdømme, dårlig listehygiejne, en forkert konfigureret server | Spamhaus CSS, invaluement |
| Spamoperationer og den hosting, der understøtter dem | Spamhaus SBL, der kan udvide en listning til et helt netværk |
| Intervaller overtaget eller lejet af kriminelle operationer | Spamhaus DROP og dens liste over ASN'er |
| Slutbrugeradresserum, der ikke bør sende mail direkte | Spamhaus PBL, der siger, at dens poster “not necessarily 'bad'” (oversættelse: “ikke nødvendigvis 'dårlige'”) |
| Portscanninger og angreb på listens eget netværk | UCEPROTECT Level 1 |
| Brute force og andre angreb rapporteret af deltagende servere | blocklist.de |
| En tidligere indehavers adfærd | Enhver liste, der ikke har ryddet listningen |
Enkelte adresser, intervaller og hele netværk
De fleste lister navngiver enkelte adresser. Flere arbejder i større skala:
- Spamhaus SBL lister “both individual IPs and IP ranges” (oversættelse: “både enkelte IP'er og IP-intervaller”) og kan udvide en listning til et netværks egen infrastruktur.
- Spamhaus PBL og DROP lister intervaller.
- UCEPROTECT Level 2 lister en hel allokering, når den samler nok Level 1-hits inden for syv dage: fire for en /24 og færre for en mindre, ned til et enkelt hit under en /27.
- UCEPROTECT Level 3 lister hver adresse, der annonceres af et ASN med for mange listninger, så den samme blok kan være listet under ét netværk og ren under et andet.
- invaluement har en liste over hele /24'er.
En ren blok kan derfor være listet på grund af sine naboer eller det netværk, der annoncerer den.
De lister, der tæller i 2026
| Liste | Hvordan en listning ophører |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: kun netværksoperatøren kan bede om fjernelse. CSS: omkring tre dage efter den sidste spam, eller selvfjernelse. XBL: automatisk, når adfærden stopper. Aldrig et gebyr |
| Barracuda BRBL | En anmodning om fjernelse, som regel håndteret inden for 12 timer |
| SpamCop, drevet af Cisco | Automatisk, 24 timer efter den sidste rapport |
| UCEPROTECT Level 1 til 3 | Level 1: syv dage efter det sidste hit i en spamfælde. Level 2 og 3: når kriterierne ikke længere passer. Hurtigere fjernelse mod betaling |
| Microsoft blocked senders | Selvbetjening i dens delist-portal, hvilket kan tage op til 24 timer eller længere |
| Proofpoint og Cloudmark | En anmodning via dens opslag |
| Abusix | Selvbetjening efter registrering; ellers udløber listninger omkring fem dage efter den sidste dårlige hændelse |
| Mailspike | En anmodningsformular, håndteret inden for 6 til 36 timer |
| PSBL | Alle kan fjerne en adresse, gratis |
| AbuseIPDB, drevet af Marathon Studios | En score fra brugerrapporter, der aftager over tid; der er ingen delisting |
| blocklist.de | En delist-side |
Lister lukker og slås sammen. SORBS blev lukket den 5. juni 2024, NiX Spam lukkede i januar 2025, CBL blev en del af Spamhaus XBL i 2021, Spamhaus lagde EDROP ind i DROP den 10. april 2024, og dens Blocklist Removal Center har været IP and Domain Reputation Checker siden 4. marts 2021. Et tjekværktøj, der stadig rapporterer SORBS, er forældet.
Sådan bliver du delistet
- Find årsagen, og stop den først. En anmodning for en adresse, der stadig sender spam, bliver afvist, og gentagne anmodninger bliver ofte ignoreret.
- Brug listens egen proces, fra tabellen ovenfor. En liste, der navngiver et netværk, som en SBL-listning, tager imod anmodningen fra netværksoperatøren, ikke fra slutbrugeren.
- Betal ikke en tredjepart. Spamhaus tager aldrig betaling og siger, at ethvert tilbud om at fjerne en Spamhaus-listning mod betaling er svindel. Hvor der findes et gebyr, sælger listen det selv: UCEPROTECT tager CHF 89 for straks at fjerne én adresse fra Level 1, CHF 249 for en allokering og CHF 449 for et ASN, alt sammen valgfrit, da listningerne også udløber gratis.
- Vent på listens egen tidsramme. SpamCop rydder efter 24 timer, Spamhaus CSS efter omkring tre dage, Abusix efter omkring fem, UCEPROTECT Level 1 efter syv.
Sådan tjekker du en blok
| Værktøj | Hvad det tjekker |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Alle Spamhaus-lister, for IPv4, IPv6 og domæner |
| MxToolbox | Over hundrede DNS-blocklists, med overvågning i dets abonnementer |
| MultiRBL | Hundredvis af lister, for IPv4, IPv6 og domæner |
| HetrixTools | Omkring 60 IP-lister, kun IPv4, med overvågning fra én gang om dagen |
| UCEPROTECT | Dens tre niveauer, og om et interval eller ASN'et er listet |
| AbuseIPDB | Rapporter mod en adresse, og en hel /24 på én gang via dens API |
| Microsoft SNDS | Outlook.com-data for adresser, du har bevist, at du kontrollerer |
Tjek via din egen resolver: Spamhaus svarer på forespørgsler, der kommer gennem offentlige DNS-resolvere, med 127.255.255.254, hvilket er en afvisning, ikke en listning. Før du tager en blok, så tjek hver adresse i den, intervallet og det netværk, der skal annoncere den; resten af, hvad du skal se på, står i tjek en blok, før du køber den, og hvordan du holder den ren, står i styring af IP-omdømme.
Hvor ofte du skal tjekke
Ingen standard fastsætter et interval, så vores følger af, hvor længe listninger varer. Mindst én gang om dagen: SpamCop rydder en listning efter en dag og Spamhaus CSS efter omkring tre, så et ugentligt tjek kan gå helt glip af en. Med få timers mellemrum for adresser, der sender mail. Det vigtigste er, at en ny listning når frem til nogen, der handler på den.
Hvor RTM Networks passer ind
Vi tjekker hver IPv4-adresse, vi har, mod mere end 10 blocklists løbende. En blok, vi lejer ud til dig, bliver tjekket, før du får den, og overvåget, mens du har den, og vi overvåger også blokke for andre virksomheder, med en rapport over deres listninger: se blacklist-overvågning, og spørg os, hvis du gerne vil have det til dine.
Kontakt
Vil du holde dine IP-adresser rene?
Fortæl os, hvilke områder du vil have overvåget, og hvordan abuse-klager skal sendes videre til dine kunder. Vi svarer som regel inden for 1 til 3 timer i arbejdstiden.
