Q-Feeds mit UniFi Network Lists verbinden

Voraussetzungen

• UniFi Network: 11.0.83 oder neuer
• UniFi OS: 6.0.10 oder neuer
• Firewall: zonenbasierte Firewall-Policies
• Feeds: Malware-IPs (feed_type=malware_ip) und Malware-Domains (feed_type=malware_domains)
• Netzwerk: ausgehendes HTTPS vom Gateway zu api.qfeeds.com

Schritt 1: API-Token kopieren

Melden Sie sich im Threat Intelligence Portal an, öffnen Sie Manage API Keys und kopieren Sie Ihr Token. Jede Network List bekommt eine eigene URL mit diesem Token.

Schritt 2: IP-Liste anlegen

1. Gehen Sie in UniFi Network zu Networks, Network Lists und wählen Sie Create New.
2. Geben Sie der Liste einen Namen, zum Beispiel Q-Feeds malware IPs.
3. Setzen Sie Type auf IP und Source auf Dynamic.
4. Fügen Sie diese URL ein, mit Ihrem eigenen Token anstelle von YOUR_TOKEN:

https://api.qfeeds.com/api?feed_type=malware_ip&ipv6=0&api_token=YOUR_TOKEN

5. Wählen Sie als Aktualisierungsintervall 24 Stunden und speichern Sie.

ipv6=0 beschränkt die Liste auf IPv4-Adressen und IPv4-Bereiche in CIDR-Notation. Eine zweite Liste mit dem IPv6-Teil desselben Feeds würde als weiterer Download von malware_ip im selben Fenster zählen und abgelehnt. Diese Anleitung bleibt deshalb bei IPv4. Wenden Sie sich an den Support, wenn Sie IPv6 auf UniFi brauchen.

Schritt 3: Domainliste anlegen

Wiederholen Sie die Schritte mit Type auf Domain, einem Namen wie Q-Feeds malware domains und dieser URL:

https://api.qfeeds.com/api?feed_type=malware_domains&api_token=YOUR_TOKEN

Wählen Sie wieder 24 Stunden. IP-Liste und Domainliste sind unterschiedliche Feeds und kommen sich daher nicht in die Quere.

Schritt 4: Verkehr blockieren

Die Listen enthalten nur die Daten. Legen Sie diese Firewall-Policies mit der Aktion Block an:

• Ausgehend zu bösartigen IPs: Quellzone Internal, Zielzone External, als Ziel die Liste Q-Feeds malware IPs.
• Eingehend von bösartigen IPs: Quellzone External mit der Liste Q-Feeds malware IPs als Quelle, Zielzone Internal. Legen Sie dieselbe Policy mit Zielzone Gateway an, um das Gateway selbst zu schützen.
• Bösartige Domains: Quellzone Internal, Zielzone External, und das Ziel auf die Liste Q-Feeds malware domains matchen.

Achten Sie darauf, dass keine Policy weiter oben denselben Verkehr vorher erlaubt, denn der erste Treffer gewinnt.

So funktioniert es

• Aktualisierung: UniFi lädt jede Liste alle 24, 48 oder 72 Stunden neu. Q-Feeds aktualisiert die Indikatoren häufiger, mit 24 Stunden erhalten Sie also einmal täglich die neuesten Daten, die Ihre Lizenz abdeckt.
• Vollständige Liste: Jeder Download enthält den kompletten Feed für Ihre Lizenz. Skripte oder differenzielle Updates sind nicht im Spiel.
• Neueste zuerst: Die API sortiert die Indikatoren nach Alter, die neuesten zuerst. Wenn Sie eine Liste mit &limit= begrenzen, behalten Sie die aktuellsten Bedrohungen.
• Warnungen: Seit 11.0.83 meldet UniFi Network, wenn eine Dynamic Network List nicht aktualisiert werden kann.
• Ein Download pro Feed: Das Rate Limit gilt pro API-Schlüssel und pro Feed. Lassen Sie also nicht zwei Listen mit demselben Schlüssel auf denselben Feed zeigen.

Prüfen

Öffnen Sie nach dem Speichern beide Listen unter Networks, Network Lists und prüfen Sie, ob sie Einträge enthalten und keine Update-Warnung anzeigen. Schalten Sie für ein paar Tage das Logging der Block-Policies ein, wenn Sie sehen möchten, was sie abfangen.

Fehlerbehebung

• Warnung zum fehlgeschlagenen Update oder HTTP 429: Der Feed wurde im Update-Fenster bereits mit demselben Schlüssel heruntergeladen, oft durch einen Browsertest oder eine zweite Liste. Öffnen Sie im Portal den Schlüssel unter Manage API Keys und wählen Sie bei Rate Limit Override die Option Activate Override. Damit entfällt das Limit für fünf Minuten; aktualisieren Sie die Liste in UniFi innerhalb dieser Zeit.
• Die Liste bleibt leer: Prüfen Sie das Token in der URL, ob Ihre Lizenz aktiv ist und ob das Gateway https://api.qfeeds.com erreicht.
• Die Liste wird nicht importiert oder das Gateway wird langsam: Setzen Sie eine Obergrenze in die URL, etwa &limit=50000, und senken Sie sie, bis der Import klappt. Sie behalten die neuesten Indikatoren.
• Eine Policy scheint nichts zu tun: Eine Policy weiter oben trifft den Verkehr zuerst. Schieben Sie die Block-Policies nach oben.
• Die Domain-Sperre erfasst nicht alle Geräte: Diese Clients umgehen das DNS des Gateways. Siehe den DNS-Hinweis in Schritt 4.
• Support: support@qfeeds.com oder die Support-Seite.

Ihre Feed-URLs abrufen Über die UniFi-Integration