Integrações de firewall

Ligar a Q-Feeds às Network Lists do UniFi

O UniFi Network 11 consegue importar listas de IPs e domínios a partir de um URL. Este guia configura duas Dynamic Network Lists que descarregam a threat intelligence da Q-Feeds uma vez por dia, e as políticas de firewall que bloqueiam o tráfego.

Precisa de um gateway UniFi com o UniFi Network 11.0.83 ou posterior, sobre o UniFi OS 6.0.10 ou posterior, acesso de administrador à aplicação Network e um token API da Q-Feeds. Consulte Obter os seus threat feeds. Não há nada para instalar: o gateway descarrega as listas sozinho.

Requisitos

  • UniFi Network: 11.0.83 ou posterior
  • UniFi OS: 6.0.10 ou posterior
  • Firewall: políticas de firewall por zonas
  • Feeds: IPs maliciosos (feed_type=malware_ip) e domínios maliciosos (feed_type=malware_domains)
  • Rede: HTTPS de saída do gateway para api.qfeeds.com

Passo 1: copie o seu token API

Inicie sessão no Threat Intelligence Portal, abra Manage API Keys e copie o seu token. Cada Network List recebe o seu próprio URL com esse token.

Não abra primeiro os URLs dos feeds num browser para os testar. A API permite um download por feed e por chave dentro da janela de atualização da sua licença (24 horas na Community), por isso um teste no browser pode fazer com que o primeiro download do UniFi falhe com HTTP 429. Se mesmo assim acontecer, consulte a secção Diagnóstico mais abaixo.

Passo 2: crie a lista de IPs

  1. No UniFi Network, vá a Networks, Network Lists e selecione Create New.
  2. Dê um nome à lista, por exemplo Q-Feeds malware IPs.
  3. Defina Type como IP e Source como Dynamic.
  4. Cole este URL com o seu próprio token em vez de YOUR_TOKEN:
https://api.qfeeds.com/api?feed_type=malware_ip&ipv6=0&api_token=YOUR_TOKEN
  1. Escolha um intervalo de atualização de 24 horas e guarde.

ipv6=0 limita a lista a endereços IPv4 e intervalos IPv4 em notação CIDR. Uma segunda lista com a parte IPv6 do mesmo feed contaria como mais um download de malware_ip na mesma janela e seria recusada, por isso este guia fica pelo IPv4. Contacte o apoio se precisar de IPv6 no UniFi.

Passo 3: crie a lista de domínios

Repita os passos com Type definido como Domain, um nome como Q-Feeds malware domains e este URL:

https://api.qfeeds.com/api?feed_type=malware_domains&api_token=YOUR_TOKEN

Escolha de novo 24 horas. A lista de IPs e a de domínios são feeds diferentes, por isso não interferem uma com a outra.

Passo 4: bloqueie o tráfego

As listas guardam apenas os dados. Crie estas políticas de firewall com a ação Block:

  • Saída para IPs maliciosos: zona de origem Internal, zona de destino External e a lista Q-Feeds malware IPs como destino.
  • Entrada a partir de IPs maliciosos: zona de origem External com a lista Q-Feeds malware IPs como origem, zona de destino Internal. Crie a mesma política com a zona de destino Gateway para proteger o próprio gateway.
  • Domínios maliciosos: zona de origem Internal, zona de destino External, e faça corresponder o destino à lista Q-Feeds malware domains.

Confirme que nenhuma política mais acima permite o mesmo tráfego primeiro, porque vale a primeira correspondência.

A correspondência por domínio depende do DNS. Dispositivos com servidor DNS próprio ou DNS over HTTPS podem contorná-la. Faça os seus clientes resolverem através do gateway e bloqueie, sempre que possível, o DNS de saída para outros servidores, ou adicione também o mesmo feed de domínios a um filtro DNS como o Pi-hole, o AdGuard ou o Technitium.

Como funciona

  • Atualização: o UniFi volta a descarregar cada lista a cada 24, 48 ou 72 horas. A Q-Feeds atualiza os indicadores com mais frequência, por isso com 24 horas recebe uma vez por dia os dados mais recentes que a sua licença abrange.
  • Lista completa: cada download traz o feed completo da sua licença. Não há scripts nem atualizações diferenciais envolvidos.
  • Mais recentes primeiro: a API ordena os indicadores por idade, os mais recentes primeiro. Se limitar uma lista com &limit=, mantém as ameaças mais recentes.
  • Alertas: desde a 11.0.83, o UniFi Network avisa quando uma Dynamic Network List não consegue atualizar-se.
  • Um download por feed: o limite de pedidos aplica-se por chave API e por feed. Não aponte duas listas para o mesmo feed com a mesma chave.

Verificar

Depois de guardar, abra as duas listas em Networks, Network Lists e confirme que têm entradas e não mostram nenhum alerta de atualização. Ative o registo das políticas de bloqueio durante alguns dias se quiser ver o que travam.

Diagnóstico

  • Alerta de atualização falhada ou HTTP 429: o feed já foi descarregado com a mesma chave dentro da janela de atualização, muitas vezes por um teste no browser ou por uma segunda lista. No portal, abra a chave em Manage API Keys e selecione Activate Override em Rate Limit Override. O limite fica levantado durante cinco minutos; atualize a lista no UniFi dentro desse prazo.
  • A lista continua vazia: verifique o token no URL, se a sua licença está ativa e se o gateway consegue chegar a https://api.qfeeds.com.
  • A lista não é importada ou o gateway fica lento: acrescente um teto ao URL, por exemplo &limit=50000, e baixe-o até a importação funcionar. Mantém os indicadores mais recentes.
  • Uma política parece não fazer nada: uma política mais acima apanha o tráfego primeiro. Suba as políticas de bloqueio.
  • O bloqueio de domínios falha em alguns dispositivos: esses clientes contornam o DNS do gateway. Veja a dica sobre DNS no passo 4.
  • Apoio: support@qfeeds.com ou a página de apoio.

Os feeds de URLs maliciosos da Q-Feeds não são suportados nas Network Lists do UniFi. Uma lista guarda endereços IP ou domínios, e só um proxy ou um filtro web consegue inspecionar o caminho completo de um URL. Fique aqui pelos feeds de IPs e domínios.

Obter os URLs dos seus feeds Sobre a integração com o UniFi

Já utiliza a Q-Feeds?

Abra o portal para copiar os URLs dos seus feeds e a sua chave API, ou compare os pacotes se precisar de mais.

Abrir o portal Comparar pacotes