- Agrégation de listes d'adresses IP malveillantes scindée en fichiers de 131 072 entrées au maximum pour être intégrées dans des pare-feux : Fortinet FortiGate, Palo Alto, pfSense, OPNsense, IPtables ...
- Adresses IP malveillantes de type scanners et bruteforce, donc à bloquer UNIQUEMENT en entrée : dans le sens WAN > LAN
- Adresses IP ordonnées en fonction du nombre de listes dans lesquelles elles apparaissent (IP malveillantes apparaissant dans le plus de listes sont donc dans le premier fichier full-aa.txt)
- Mise à jour toutes les heures
Fichiers à utiliser (liens dans la partie "Links" ci-dessous) :
- full-aa.txt : 131 072 adresses IP les plus malveillantes
- full-aX.txt : autres adresses IP malveillantes
- full-40k.txt : 40 000 adresses IP les plus malveillantes
Les adresses IP de Google Bot et Bing Bot ont été retirées de tous les fichiers pour ne pas impacter le référencement des services.
- Aggregation of lists of malicious IP addresses split into files of a maximum of 131,072 entries to be integrated into firewalls: Fortinet FortiGate, Palo Alto, pfSense, OPNsense, IPtables ...
- Malicious IP addresses such as scanners and bruteforce, therefore ONLY to be blocked in the WAN > LAN direction
- Adresses IP classées selon le nombre de listes dans lesquelles elles apparaissent (malicious IPs appearing most frequently first and therefore at the beginning of the full-aa.txt file)
- Updated every hour
Files to use (links in the "Links" section below):
- full-aa.txt: 131,072 most malicious IP addresses
- full-aX.txt: other malicious IP addresses
- full-40k.txt: 40,000 most malicious IP addresses
The IP addresses of Google bots and Bing bots are removed from all files so as not to impact the SEO of the websites.
Update of the following table: 2024-08-10 21:44 CEST
| Malicious IP addresses in full-* | % | Number of IPs |
|---|---|---|
| Present in 6 sources and more | 3.07 % | 19 369 |
| Present in 5 sources | 2.34 % | 14 788 |
| Present in 4 sources | 3.39 % | 21 424 |
| Present in 3 sources | 5.74 % | 36 220 |
| Present in 2 sources | 15.39 % | 97 142 |
| Present in 1 source | 70.05 % | 441 928 |
| Total | 100 % | 630 871 |
Update of the common IP table with the FortiGate ISDB Malicious-Malicious.Server: 2024-08-10 01:30 CEST
| FortiGate models | full-* IPs common with ISDB |
|---|---|
| 100F and below | 9.62 % |
| 200F and above | 18.96 % |
History of statistics here.
Classification by country and organizations of malicious IP addresses present in at least 2 sources.
Comment intégrer ces listes dans un pare-feu ?
- FortiGate
- C'est un complément de la base de données ISDB "Malicious-Malicious.Server" des FortiGate (statistiques d'IP communes entre la liste full-* et l'ISDB ici).
- Menu "Security Fabric → External Connectors → Create New → IP Address"
- Prendre une URL dans la partie "Links" ci-dessous
- Après, les listes peuvent être utilisées dans les "Firewall Policy" avec les objets "IP Address Threat Feed"
- Implémentation de la liste full validée même sur le plus petit boitier FortiGate 40F
- Plus d'informations : mon tutorial et cette page de l'aide Fortinet
- Palo Alto : lien. Modèle PA-3200 et supérieurs limités à 150k IP (utilisez uniquement full-aa.txt), modèles inférieurs limités à 50k IP (utilisez le fichier full-40k.txt)
- pfSense : via ce repo GitHub qui permet d'implémenter une API dans pfSense. Attention, par défaut le nombre maximal d'objets est de 400k. Possibilité d'augmenter cette valeur si votre pfSense a beaucoup de RAM. Plus d'infos ici.
- OPNsense : via API (doc. Modifier le nombre maximal d'entrées d'un alias : "Firewall -> Settings -> Advanced -> Firewall Maximum Table Entries".
- IPTables avec le paquet "ipset" : tutorial 1 tutorial 2
How to integrate these lists into a firewall?
- FortiGate
- It is a complement to the FortiGate ISDB "Malicious-Malicious.Server" database (common IP address statistics between the full-* list and the ISDB here).
- Menu "Security Fabric → External Connectors → Create New → IP Address"
- Take a URL in the "Links" section below
- Then, the lists can be used in "Firewall Policy" as "IP Address Threat Feed" objects.
- Implementation of the full list validated even on the smallest FortiGate 40F appliance
- More information: my tutorial and this Fortinet help page
- Palo Alto: here. PA-3200 model and above limited to 150k IP (use full-aa.txt only), lower models limited to 50k IP (use full-40k.txt file)
- pfSense: via this GitHub repo which allows you to implement an API in pfSense. Be careful, by default the maximum number of objects is 400k. Possibility to increase this value if your pfSense has a lot of RAM. More info here here.
- OPNsense : via API (doc. Change the maximum number of entries for an alias: "Firewall -> Settings -> Advanced -> Firewall Maximum Table Entries".
- IPTables with the "ipset" package: tutorial 1 tutorial 2
Full aggregation files:
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-aa.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ab.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ac.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ad.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ae.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-af.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ag.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ah.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ai.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-aj.txt
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-ak.txt
File of the 40,000 most malicious IPs:
https://raw.githubusercontent.com/romainmarcoux/malicious-ip/main/full-40k.txt
| Filename | Source | History | Description |
|---|---|---|---|
| abuseipdb-* | link | 120d | Collaborative blocklist |
| akamai.com-* | link | 30d | IP Block List maintained by Akamai |
| alienvault-fakelabs-* | link | 30d | SSH Brute-Force Honeypot |
| alienvault-georgs-* | link | 30d | RDP/SSH/VNC intrustion and Trojan request |
| alienvault-ssh-bruteforce-* | link | 30d | SSH Brute-Force Honeypot |
| binarydefense.com-* | link | 30d | IP Block List maintained by Binary Defense |
| blocklist.de-* | link | 30d | Collaborative blocklist (6k sensors) (stats) |
| cinsscore.com-* | link | 30d | IP Block List maintained by CINS |
| emergingthreats.net-* | link | 30d | IP Block List maintained by Proofpoint |
| greensnow.co-* | link | 30d | IP Block List maintained by greensnow.co |
| isc.sans.edu-* | link | 20d | Collaborative blocklist (500k sensors): false positives removed |
| malicious-ip-* | link | - | Private honeypots and other sources |
| projecthoneypot.org-* | link | 30d | Collaborative blocklist |
| snort.org-* | link | 30d | IP Block List maintained by snort.org (owned by Cisco Talos) |
| stamparm-* | link | 30d | Aggregation of lists of malicious IP addresses |
- 2024-07-05: New source: projecthoneypot.org
- 2024-06-05: Whitelisting of IP addresses used by Cloudflare
- 2024-05-26: New source: binarydefense.com. Improved exploitation of isc.sans.edu with low signal IPs. Moving historical source files to the source folder.
- 2024-01-20: New sources: alienvault-ssh-bruteforce, alienvault-georgs, alienvault-fakelabs.
- 2024-01-19: New sources: stamparm, akamai.
- 2024-01-16: Whitelisting of IP addresses used by French mobile operators.
- 2023-12-26: New sources: cinsscore.com, emergingthreats.net, greensnow.co, snort.org.
- 2023-10-05: New source: isc.sans.edu.
- 2023-09-26: New sources: blocklist.de, abuseipdb.com.
- 2023-09-20: Initial release with first source: malicious-ip (github.com/duggytuxy/malicious_ip_addresses).
Contactez-moi via LinkedIn (mon profil) pour :
- m'indiquer des faux positifs
- être notifié quand un nouveau segment de fichier est créé (pour l'ajouter dans votre pare-feu)
- me proposer d'ajouter une autre source d'adresses IP malveillantes (voir sources actuelles)
Contact me via LinkedIn (my profile) to:
- notify me false positives
- be notified when a new file segment is created (to add it to your firewall)
- suggest I add another source of malicious IP addresses (see current sources