Ressurser
Svartelisting av IP-adresser: hvilke lister som teller, hvordan avlisting fungerer og hva det koster
En blokkeringsliste for IP-adresser, eller svarteliste, er en liste over adresser som mottakende systemer avviser eller behandler med mistanke, oftest fordi de har sendt spam eller viser tegn på å være kompromittert. Noen lister dekker hele ranger eller nettverk i stedet for enkeltadresser, og en oppføring kan følge en adresse når den går videre til neste innehaver, så blokkens historikk betyr like mye som bruken. De fleste oppføringer forsvinner gratis når årsaken har opphørt.
Slik fungerer en blokkeringsliste
De fleste blokkeringslister svarer over DNS. En e-postserver som mottar en tilkobling fra 192.0.2.99, spør listen etter 99.2.0.192. fulgt av listens sone: et svar som 127.0.0.2 betyr oppført, intet svar betyr ikke oppført, og en tekstoppføring gir som regel grunnen, som ofte havner i avvisningsmeldingen. RFC 5782 beskriver konvensjonen.
Ikke alt som kalles en svarteliste, fungerer slik:
| Type | Hvordan den svarer | Eksempler |
|---|---|---|
| DNS-blokkeringsliste | Oppført eller ikke, per adresse eller range | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Omdømmepoeng | En gradert poengsum | Cisco Talos; AbuseIPDB, fra 0 til 100 |
| Trusselfeed | En liste brannmurer og rutere bruker til å forkaste all trafikk, ikke bare e-post | Spamhaus DROP, Spamhaus BCL |
| Klassifisering | En merkelapp som hosting, VPN eller proxy, ikke en vurdering av misbruk | MaxMinds data om anonyme IP-er, AWS WAFs liste over hostingleverandører |
Leid adresserom møter oftest den siste typen. En blokk uten noen historikk av misbruk kan likevel merkes som hostingadresser og avvises av en strømmetjeneste eller et nettsted bak en brannmur som filtrerer på den merkelappen.
Hva som får en adresse oppført
| Årsak | Lister den gir data til |
|---|---|
| E-post til spamfeller | UCEPROTECT Level 1, PSBL, Abusix |
| Mottakere som rapporterer e-post som spam | SpamCop |
| En kompromittert maskin: skadevare, brute force-innlogginger, en proxy-app | Spamhaus XBL, Abusix |
| Masseutsendelser med lavt omdømme, dårlig listehygiene, en feilkonfigurert server | Spamhaus CSS, invaluement |
| Spamoperasjoner og hostingen som støtter dem | Spamhaus SBL, som kan utvide en oppføring til et helt nettverk |
| Ranger overtatt eller leid av kriminelle operasjoner | Spamhaus DROP og listen over ASN-er |
| Adresserom for sluttbrukere som ikke bør sende e-post direkte | Spamhaus PBL, som sier at oppføringene «not necessarily 'bad'» (oversettelse: «ikke nødvendigvis ‘dårlige’») |
| Portskanning og angrep på listens eget nettverk | UCEPROTECT Level 1 |
| Brute force og andre angrep rapportert av servere som deltar | blocklist.de |
| En tidligere innehavers oppførsel | Enhver liste som ikke har fjernet oppføringen |
Enkeltadresser, ranger og hele nettverk
De fleste lister oppgir enkeltadresser. Flere arbeider i større skala:
- Spamhaus SBL fører opp «both individual IPs and IP ranges» (oversettelse: «både enkelte IP-er og IP-ranger») og kan utvide en oppføring til et nettverks egen infrastruktur.
- Spamhaus PBL og DROP fører opp ranger.
- UCEPROTECT Level 2 fører opp en hel tildeling når den samler nok treff i Level 1 innen sju dager: fire, for en /24, og færre for en mindre, helt ned til ett enkelt treff under en /27.
- UCEPROTECT Level 3 fører opp hver adresse som kunngjøres av et ASN med for mange oppføringer, så den samme blokken kan være oppført under ett nettverk og ren under et annet.
- invaluement har en liste over hele /24-er.
En ren blokk kan derfor bli oppført på grunn av naboene eller nettverket som kunngjør den.
Listene som teller i 2026
| Liste | Hvordan en oppføring avsluttes |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: bare nettverksoperatøren kan be om fjerning. CSS: omtrent tre dager etter siste spam, eller selvbetjent fjerning. XBL: automatisk, når oppførselen stopper. Aldri betaling |
| Barracuda BRBL | En forespørsel om fjerning, som regel behandlet innen 12 timer |
| SpamCop, drevet av Cisco | Automatisk, 24 timer etter siste rapport |
| UCEPROTECT Level 1 til 3 | Level 1: sju dager etter siste treff i en spamfelle. Level 2 og 3: når kriteriene ikke lenger stemmer. Raskere fjerning mot betaling |
| Microsoft blokkerte avsendere | Selvbetjent i avlistingsportalen, som kan ta opptil 24 timer eller lenger |
| Proofpoint og Cloudmark | En forespørsel via oppslagssiden |
| Abusix | Selvbetjent etter registrering; ellers utløper oppføringer omtrent fem dager etter siste dårlige hendelse |
| Mailspike | Et forespørselsskjema, behandlet innen 6 til 36 timer |
| PSBL | Hvem som helst kan fjerne en adresse, gratis |
| AbuseIPDB, drevet av Marathon Studios | En poengsum fra brukerrapporter som avtar over tid; det finnes ingen avlisting |
| blocklist.de | En side for avlisting |
Lister legges ned og slås sammen. SORBS ble lagt ned 5. juni 2024, NiX Spam stengte i januar 2025, CBL ble en del av Spamhaus XBL i 2021, Spamhaus slo EDROP inn i DROP 10. april 2024, og Blocklist Removal Center har vært IP and Domain Reputation Checker siden 4. mars 2021. Et sjekkverktøy som fortsatt rapporterer SORBS, er utdatert.
Slik blir du avlistet
- Finn årsaken og stopp den først. En forespørsel for en adresse som fortsatt sender spam, avvises, og gjentatte forespørsler blir ofte ignorert.
- Bruk listens egen prosess, fra tabellen over. En liste som oppgir et nettverk, som en SBL-oppføring, tar forespørselen fra nettverksoperatøren, ikke fra sluttbrukeren.
- Ikke betal en tredjepart. Spamhaus tar aldri betalt, og sier at ethvert tilbud om å fjerne en Spamhaus-oppføring mot betaling er svindel. Der det finnes et gebyr, selger listen det selv: UCEPROTECT tar CHF 89 for å avliste én adresse fra Level 1 umiddelbart, CHF 249 for en tildeling og CHF 449 for et ASN, alt valgfritt, siden oppføringene også utløper gratis.
- Vent på listens egen tidsplan. SpamCop fjerner etter 24 timer, Spamhaus CSS etter omtrent tre dager, Abusix etter omtrent fem, UCEPROTECT Level 1 etter sju.
Slik sjekker du en blokk
| Verktøy | Hva det sjekker |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Alle Spamhaus' lister, for IPv4, IPv6 og domener |
| MxToolbox | Over hundre DNS-blokkeringslister, med overvåking i abonnementene |
| MultiRBL | Hundrevis av lister, for IPv4, IPv6 og domener |
| HetrixTools | Rundt 60 IP-lister, bare IPv4, med overvåking fra én gang om dagen |
| UCEPROTECT | De tre nivåene, og om en range eller ASN-et er oppført |
| AbuseIPDB | Rapporter mot en adresse, og en hel /24 på én gang via API-et |
| Microsoft SNDS | Data fra Outlook.com for adresser du har bevist at du kontrollerer |
Sjekk via din egen resolver: Spamhaus svarer på spørringer som kommer via offentlige DNS-resolvere med 127.255.255.254, som er en avvisning, ikke en oppføring. Før du tar en blokk, sjekk hver adresse i den, rangen og nettverket som skal kunngjøre den; resten av det du bør se på, står i slik sjekker du en blokk før du kjøper den, og hvordan du holder den ren, står i håndtering av IP-omdømme.
Hvor ofte du bør sjekke
Ingen standard fastsetter et intervall, så vårt følger av hvor lenge oppføringer varer. Minst én gang om dagen: SpamCop fjerner en oppføring etter en dag og Spamhaus CSS etter omtrent tre, så en ukentlig sjekk kan gå glipp av en helt. Hver noen timer for adresser som sender e-post. Det viktigste er at en ny oppføring når noen som handler på den.
Hvor RTM Networks passer inn
Vi sjekker hver IPv4-adresse vi har, kontinuerlig mot over 10 blokkeringslister. En blokk vi leier ut til deg, sjekkes før du får den og overvåkes mens du har den, og vi overvåker også blokker for andre selskaper, med en rapport over oppføringene: se overvåking av svartelister, og spør oss hvis du vil ha det for dine.
Kontakt
Vil du holde IP-adresserommet ditt rent?
Fortell oss hvilke områder du vil ha overvåket, og hvordan abuse-rapporter skal rutes til kundene dine. Vi svarer som regel innen 1 til 3 timer i arbeidstiden.
