Открытые фиды по источникам атак есть, вот один из них https://example.com/test29765 - там подсети и время, но с задержкой в сутки.

> Открытые фиды по источникам атак есть, вот один из них https://example.com/test29765 -
> там подсети и время, но с задержкой в сутки.

А можно уточнить адрес, тот явно неверный...

> Открытые фиды по источникам атак есть, вот один из них https://example.com/test29765 -
> там подсети и время, но с задержкой в сутки.

И я писал про то, что было бы неплохо иметь список не источников атак (что тоже конечно полезно), а жертв — чтобы проверять у себя в сети наличие источников.

То есть, допустим, атакован некий сайт, его админы сообщают, что в такой-то период идёт атака на такой-то адрес, соответственно компьютеры, которые устанавливают соединение с этим адресом — под подозрением, причём они могут быть за NAT, и тогда конкретные заражённые машины можно определить только уже на уровне локальной сети (например, на маршрутизаторе). То есть, обновляемый список атакованных узлов мог бы ускорить ликвидацию ботнетов.

> с взломанных систем могут проводиться достаточно незаметно для их пользователей и администраторов

Вообще для контроля исходящего трафика есть сетевой экран. Если исходящий трафик отфильтровать по пользователям, портам, ....  остальное залогиривать и потом дропнуть. Логи заблокированного исходящего трафика передать в некую систему алярмов....

Но вопрос в другом месте стоит. Как вообще левый код в правильно настроений системе может запустится, да ещё и сеть иметь?

> Вообще для контроля исходящего трафика есть сетевой экран. Если исходящий трафик отфильтровать
> по пользователям, портам, ....  остальное залогиривать и потом дропнуть. Логи
> заблокированного исходящего трафика передать в некую систему алярмов....

Представь, если с одного компьютера идёт обращение к некоторому сайту, несколько десятков запросов в течение часа, при этом пользователь раньше к нему не обращался, это признак атаки? Это может быть как участие в DDoS, так и обычное поведение (с вероятностью более 99% — мы гораздо чаще открываем в браузере новые сайты, чем наши компьютеры участвуют в DDoS). Если заблокировать все неизвестные ранее сайты, то это не найдёт понимания у коллег и руководства.

> Но вопрос в другом месте стоит. Как вообще левый код в правильно
> настроений системе может запустится, да ещё и сеть иметь?

Вообще говоря, софт в наших компьютерах содержит множество уязвимостей, они многие ещё неизвестны, но постепенно обнаруживаются. То есть, явно существует техническая возможность взломать наши компьютеры,и мы в этом можем раз за разом убеждаться, когда ставим обновления операционной системы, браузера и т.д.

> Представь, если с одного компьютера идёт обращение к некоторому сайту

Тогда ДОПОЛНИТЕЛЬНО надо ставить squid с MitM и clamav с базой urlhose. Вирусные запросы блокировать в squid и отсылать лог для алярма. Здесь может ботнет попасться, а может и просто вирус другой базой clamav ловится. Если фильтрануть только UrlHose то вероятность поимки ботнета 99%.

> Вообще говоря, софт в наших компьютерах содержит множество уязвимостей, они многие ещё неизвестны

https://www.opennet.ru/openforum/vsluhforumID3/129886.html#309

>> Представь, если с одного компьютера идёт обращение к некоторому сайту
> Тогда ДОПОЛНИТЕЛЬНО надо ставить squid с MitM и clamav с базой urlhose.

С утра ошибся. Надо squid с ICAP модулем для блокировки по URL с более листа URL house. ICAP модуль с clamav ставить в цепочке почти блокировка по URL. Модули для squid есть готовые, MitM работает идеально.

Блеклист IP с urlhouse и подобных баз в IPset добавить, логиновать и дропать.

Если не лень составлять списки хостов, можно и абузы разослать.
Ложно положительных в таких списках может быть много. Искать свои хосты в неведомых списках никто не будет (примет - задолбавшие всех спамлисты).
Даже на абузы реакция обычно заторможенная или отсутствует.

> Ложно положительных в таких списках может быть много. Искать свои хосты в неведомых списках никто не будет

Да, постановка задачи неправильна. Свои хостиы в вирусных базах никто не ищет. Списки есть:
https://urlhaus.abuse.ch/
Но их никто не грепает, чтобы свои хосты найти.

Все списки используют для организации блокирования доступа своих хостов к вирусным серверам на разных уровнях.