Ihre Firewalls, IDS, Honeypots und AAA-Server melden Threats an NxtFireGuard. Jede IP bekommt einen Score aus Ihren Daten, der Community und Threat Intelligence von Drittanbietern. Überschreitet eine IP Ihren Threshold, kommt sie auf Ihre Blocklist und Ihre Firewalls setzen den Block durch.
Das Problem
IP-Blocklists, die jemand von Hand pflegt oder einmal exportiert, sind schnell veraltet.
Sie zeigt den Stand vom Tag des Exports. Danach wechseln Angreifer ihre Adressen, gekaperte Systeme werden bereinigt und neue kommen dazu. Die Liste bekommt davon nichts mit.
Wer Einträge selbst entfernt, ist ständig im Rückstand. Wer es sein lässt, blockt irgendwann Adressen, die längst sauber sind. Und die aktuellen Angreifer kommen durch.
Ohne Prüfung, Thresholds und Whitelist reicht ein falscher Eintrag, und Traffic, den Sie brauchen, ist geblockt.
Funktionsweise
Ihr Netz
Firewalls, IDS, Honeypots und AAA-Server schicken ihre Threat-Logs an NxtFireGuard. Sie behalten die Geräte, die Sie schon haben.
NxtFireGuard
Jede gemeldete IP-Adresse wird mit Community-Intelligence und Threat Intelligence von Drittanbietern abgeglichen.
Ihr Netz
Ein Traffic-Sensor prüft Live-Verbindungen gegen die Scores, die er lokal vorhält. Liegt eine IP über Ihrem Threshold, kommt sie auf Ihre Blocklist.
Ihr Netz
Ihre Firewalls holen die Blocklist per HTTPS ab. Als External Dynamic List oder als einfache IP-Liste.
NxtFireGuard
Geblockte Adressen bekommen immer wieder einen neuen Score. Ist eine IP sauber, fliegt sie von der Liste. Niemand muss dafür etwas tun.
Funktionen
Sie binden Ihre Firewalls, Honeypots und AAA-Server an, so wie sie sind. Jede Quelle fließt in dieselbe Bewertung.
Traffic-Sensoren sehen Verbindungen in Echtzeit. Sie prüfen Quell- und Zieladressen gegen eine lokale Threat-Datenbank.
Alle Nutzer teilen sich einen Threat-Pool. Was ein Netz meldet, schützt alle anderen mit NxtFireGuard.
Geblockte IPs bekommen laufend einen neuen Score und saubere Adressen fliegen automatisch raus. So wächst die Blocklist nicht endlos.
Sie legen pro Blocklist fest, ab welchem Score geblockt wird, getrennt für private und öffentliche Adressen. IPs auf der Whitelist werden nie geblockt.
Threat-Events, Blocks und Änderungen werden protokolliert und sind durchsuchbar. Bei jedem Block sehen Sie, warum er da ist.
Integrationen
Anleitungen zu jeder Integration stehen in der Dokumentation (auf Englisch).
Einstieg
SCHRITT 1
Richten Sie Firewalls, Honeypots oder AAA-Server auf NxtFireGuard aus. Für Cisco Firepower, Palo Alto NGFW, T-Pot, Cisco ISE und OPNsense gibt es Anleitungen. Alles andere meldet über den JSON-Endpunkt.
SCHRITT 2
Ein kleiner Sensor liest Live-Traffic per Syslog oder Port-Mirroring. Er hält die Scores lokal vor, damit über Blocks in Ihrem Netz entschieden wird.
SCHRITT 3
Thresholds setzen, Traffic-Sensoren zuordnen, Whitelist pflegen. Private und öffentliche Adressen bekommen eigene Thresholds. Wie oft die Re-Evaluation läuft, stellen Sie selbst ein.
SCHRITT 4
Ihre Firewalls rufen die Blocklist regelmäßig über ihre URL ab und setzen die Blocks durch.
Tarife
Der Tarif Basic kostet nichts und Sie brauchen keine Kreditkarte. Starter, Standard und Enterprise bieten mehr Sensoren, Blocklists, Nutzer und Support.
FAQ
Eine Liste von IP-Adressen, die eine Firewall regelmäßig abruft. Verbindungen von diesen Adressen verwirft sie sofort, noch bevor eine Regel greift. Firewalls lesen solche Listen per HTTPS. Bei Palo Alto heißen sie External Dynamic List, bei Cisco Security Intelligence Feeds. Bei NxtFireGuard beruhen die Einträge auf Ihren eigenen Sensoren, der Community und Threat Intelligence von Drittanbietern. Geblockte Adressen bekommen regelmäßig einen neuen Score.
Eine statische Liste zeigt den Stand vom Tag ihres Exports. Danach wechseln Angreifer ihre Adressen, gekaperte Systeme werden bereinigt und neue kommen dazu. Ohne laufende Re-Evaluation blockt die Liste irgendwann Adressen, die längst sauber sind. Und die aktuellen Angreifer kommen durch. NxtFireGuard gibt jeder Adresse immer wieder einen neuen Score und nimmt saubere automatisch raus.
Firewalls, die eine externe IP-Liste regelmäßig abrufen können, zum Beispiel Palo Alto Networks als External Dynamic List oder pfSense. Als Quellen für Threat-Logs sind Cisco FTD, Cisco ISE, OPNsense, Palo Alto Networks NGFW und T-Pot dokumentiert.
Aus drei Quellen. Aus den Logs Ihrer eigenen Firewalls, IDS, Honeypots und AAA-Server. Aus der Community aller NxtFireGuard-Nutzer. Und aus Threat Intelligence von Drittanbietern. Jede IP wird gegen alle drei bewertet.
Dafür gibt es drei Stellschrauben. Sie setzen pro Blocklist einen Threshold. Adressen auf Ihrer Whitelist werden nie geblockt. Und die laufende Re-Evaluation nimmt saubere Adressen wieder raus. Im Audit Trail sehen Sie bei jedem Block, wie er zustande kam.
Ein kleiner Dienst in Ihrem Netz. Er liest Live-Verbindungen per Syslog oder Port-Mirroring und prüft sie gegen die Scores, die er lokal vorhält. So wird dort entschieden, wo der Traffic ist. Nur zum Melden brauchen Sie ihn nicht. Für die Live-Prüfung und automatische Block-Empfehlungen schon.
Ja. Der Tarif Basic kostet nichts und Sie brauchen keine Kreditkarte. Starter, Standard und Enterprise bieten mehr Sensoren, Blocklists, Nutzer und Support. Preise und SLA stehen auf der Seite Preise.
NxtGenIT in Ulm. Entwicklung und Betrieb liegen in einer Hand. Die Dokumentation steht unter nxtfireguard.de/docs (auf Englisch) und Support erreichen Sie direkt im Produkt.
Binden Sie einen Sensor an und lassen Sie Ihre Firewall die Blocklist abholen. Die Dokumentation erklärt jede Integration Schritt für Schritt.
Und was bei Ihnen aus dem Internet erreichbar ist, prüft Tyvar mit einem externen Penetrationstest.