Q-Feeds integreert threat intelligence met UniFi-gateways

Wie IP-adressen van bekende aanvallers op een UniFi-gateway wilde blokkeren, was tot nu toe aangewezen op CyberSecure Enhanced, het betaalde beveiligingsabonnement van Ubiquiti. Andere bronnen waren alleen toe te voegen met handmatig bijgehouden lijsten of eigen scripts op de gateway, die na een update soms niet meer werkten. In de nieuwste netwerksoftware kan een netwerklijst worden gevuld vanaf een externe URL. De gateway houdt die lijst zelf actueel, waardoor beheerders kunnen kiezen welke threat intelligence ze gebruiken.

Blokkeren in twee richtingen

Een blocklist met dreigingsinformatie werkt volgens Q-Feeds in twee richtingen. Inkomend verkeer van bekende scanners, brute-force-bronnen en aanvalsinfrastructuur wordt aan de rand van het netwerk geweigerd, voordat het een open poort, VPN-ingang of webdienst bereikt. Uitgaand wordt de verbinding geblokkeerd als een besmet apparaat, zoals een laptop of camera, contact zoekt met een bekende command-and-control-server. Dat is vaak het moment waarop een besmetting uitgroeit tot een datalek of ransomware-incident.

De lijst van Q-Feeds is samengesteld uit meer dan 2.500 bronnen, waaronder eigen honeypots, en is gekoppeld aan het MITRE ATT&CK-framework. Ze is te gebruiken naast CyberSecure Enhanced en ook op gateways zonder dat abonnement. De IDS/IPS van UniFi herkent patronen in verkeer, terwijl de blocklist blokkeert op basis van de reputatie van een IP-adres. Volgens Q-Feeds verkleint een tweede, onafhankelijke bron de kans op blinde vlekken, omdat geen enkele bron alle dreigingen ziet.

Instellen in vijf stappen

Beheerders maken eerst een account aan op het Q-Feeds Threat Intelligence Portal en kopiëren daar de feed-URL met hun persoonlijke API-token. Daarna werken ze de gateway bij naar de nieuwste netwerksoftware; de systeemeisen staan in de handleiding. In de netwerkinstellingen, onder Networks > Network Lists, maken ze een dynamische IP-lijst aan, plakken de URL en stellen een verversing in van elke 24 uur. Vervolgens blokkeren ze het verkeer met twee firewallregels: één voor verkeer van de lijst naar het eigen netwerk en één voor verkeer in omgekeerde richting. Tot slot controleren ze de werking. De gateway meldt zelf als het ophalen van de lijst mislukt, dus Q-Feeds adviseert de meldingen na de eerste dag in de gaten te houden.

Het bedrijf noemt een aantal aandachtspunten. Veel beheerders blokkeren alleen inkomend verkeer, terwijl de uitgaande regel besmette apparaten in het eigen netwerk aan het licht kan brengen. Een zeer grote lijst kan daarnaast de limieten van instapmodellen overschrijden. In dat geval kan het aantal adressen in de feed-URL worden begrensd, waarbij de meest recente dreigingen behouden blijven. Wie meerdere locaties beheert, past per gateway dezelfde configuratie toe: één lijst en twee regels. Resellers en MSP’s beheren licenties per klant centraal in het Threat Intelligence Portal.

'Geen enkele laag ziet alles'

“UniFi is enorm populair bij het mkb en bij IT-dienstverleners die tientallen klantlocaties beheren,” zegt Stefan Sprenkels, oprichter van Q-Feeds. “Juist die organisaties worden steeds vaker doelwit, terwijl professionele threat intelligence voor hen lang te duur of te complex was. Door het platform open te stellen voor externe partijen heeft Ubiquiti de deur opengezet. Voor een beheerder is het nu een kwartiertje werk om bekende aanvallers buiten de deur te houden en besmette apparaten te herkennen. Geen enkele laag ziet alles, dus gelaagdheid blijft de sleutel.”

De integratie is per direct beschikbaar en werkt met alle Q-Feeds-licenties, van Community tot Plus en Premium. Wie de koppeling eerst wil uitproberen, kan dat in de eigen omgeving doen met de gratis Community-editie of met een proefperiode van Premium. De volledige handleiding is hier beschikbaar.