Hur en adress hamnar i listan
Ett skydd som blockerar fel gör mer skada än nytta. Därför är metodiken för hur något kommer in i listorna — och hur det kommer ut igen — den viktigaste delen av WF SecurityCloud.
Fyra frågor om varje adress
Vad gjorde den?
Ett tydligt angreppsmönster väger tyngre än en enstaka anslutning som kan ha en oskyldig förklaring.
Hur ofta?
Upprepning över tid skiljer ett systematiskt angrepp från ett engångsfel.
Var syns den?
Träffar hos flera oberoende sensorer väger tyngre än många träffar på ett och samma ställe.
Fortfarande aktiv?
En adress som varit tyst länge tappar tyngd och faller till slut ur listorna.
Vad som kan gå fel, och vad vi gör åt det
Den allvarligaste risken är att blockera något som inte borde blockeras. Det händer framför allt i tre situationer, och alla tre kräver aktiv hantering.
Delade adresser
Många användare kan dela på samma utgående adress, till exempel bakom en företagsbrandvägg eller hos en mobiloperatör. En angripare bland dem ska inte spärra ut alla andra. Sådana adresser kräver starkare underlag.
Återanvänd infrastruktur
Adresser i molntjänster byter kund. En server som var kapad i förra månaden kan i dag tillhöra någon helt annan. Därför är listorna färskvara, inte arkiv.
Legitim skanning
Sökmotorer, driftövervakning och säkerhetstester beter sig ibland likt en skanning. Kända sådana källor behandlas inte som angrepp.
In i listan och ut igen
En adress är inte permanent blockerad. Tyngden byggs upp av bekräftade observationer och minskar när de uteblir. Slutar en adress synas faller den ur listorna av sig själv.
Det gör att skyddet speglar läget nu, inte historiken. En lista som bara växer blir med tiden både långsammare och mer felbenägen.
- Observationer ger tyngd, tystnad tar bort den
- Flera oberoende källor krävs innan en adress får full vikt
- Delade och dynamiska adresser bedöms hårdare
- Kända legitima källor undantas
- Listorna uppdateras löpande i stället för i stora släpp
Om du eller någon av dina kunder blockeras och det inte stämmer, hör av dig med adressen och tidpunkten. Vi går igenom underlaget och rättar om det är fel. Vi vill hellre höra om ett felaktigt stopp än att det ligger kvar.
Rapportera ett felaktigt stopp
Skicka adress och ungefärlig tidpunkt så tittar vi på det.