Flux de menaces FortiGate d’IP et de domaines malveillants, en authentification Basic

Jusqu’à FortiOS 7.4.3, un flux contient 131 072 entrées ou 10 Mo ; à partir de 7.4.4, un budget par type d’entrée couvre tous les flux, 300 000 IP sur les plus petits modèles. Chaque liste ci-dessous tient sur toutes les versions et tous les modèles.

Nombres arrondis d’après la génération du 2026-10-01 ; chaque liste est régénérée toutes les 12 heures. Les chiffres du jour sont publics et ne demandent aucune clé.

# IsMalicious.com Blocklist - IPs (Critical)
# Format: Plain
# Generated: <BUILD_TIME>
# Total entries: <COUNT>
# Update frequency: every 12 hours
# Category: All
# Threat level: Critical
# Website: https://ismalicious.com
# © <YEAR> IsMalicious (compilation). Licensed to the downloading account under https://ismalicious.com/terms; redistribution of the compilation prohibited. Third-party entries remain under their providers' licences — see https://ismalicious.com/sources.
#

• FortiOS 7.0.8, 7.2.4 ou ultérieur, les premières versions capables de vérifier le certificat du serveur d’un flux (vérification désactivée par défaut). Évitez 7.4.5 à 7.4.8 et 7.6.1 à 7.6.3, qui échouent à cette vérification sur les flux de menaces ; 7.4.9 et 7.6.4 corrigent le défaut.
• Si le trafic d’administration doit sortir par une interface donnée, réglez interface-select-method specify et interface, ou source-ip, sur la ressource externe.
• Pour le flux de domaines seulement : une licence FortiGuard Web Filter, qu’exige le filtrage DNS par catégorie.
• Une clé API et son secret isMalicious, dans Compte › Accès API.
• Un accès HTTPS sortant (TCP 443) en IPv4 depuis FortiGate vers api.ismalicious.com, qui n’a pas d’adresse IPv6.

1. 1

   Copier la clé API et le secret

   Ouvrez Compte › Accès API et copiez la Clé API et le Secret API. La liste complète demande une offre Basic, Pro ou Enterprise ; une clé Free, ou une offre interrompue, charge l’échantillon de 10 %.
2. 2

   Créer le flux d’IP

   • Security Fabric › External Connectors › Create New, puis External Feeds › IP Address à partir de 7.6.1, Threat Feeds › IP Address de 7.0 à 7.6.0.
   • Nommez-le isMalicious-IPs, laissez Update method sur External Feed quand le champ apparaît, collez l’URL de la liste dans URL of external resource (URI of external resource en 7.0 et 7.2), réglez Refresh Rate sur 60 minutes, puis cliquez sur OK.
   • Dans l’interface, enregistrez le connecteur avec l’authentification HTTP Basic désactivée, lancez le bloc de certificat de l’étape suivante, puis activez HTTP basic authentication avec la clé API en Username et le secret API en Password : FortiOS récupère le flux dès l’enregistrement, et la vérification est désactivée jusque-là.
   • Le bloc CLI règle les deux en un seul commit.

   config system external-resource
     edit "isMalicious-IPs"
       set type address
       set resource "https://api.ismalicious.com/blocklist/download/blocklist-ips-critical.txt"
       set username "<API_KEY>"
       set password "<API_SECRET>"
       set refresh-rate 60
       set server-identity-check full
     next
   end

3. 3

   Activer la vérification du certificat

   Si vous avez créé le flux dans l’interface, réglez la vérification en CLI : par défaut, FortiOS ne vérifie pas le certificat du serveur d’un flux (server-identity-check none), et Fortinet ne documente ce réglage qu’en CLI. Passez-le sur full, qui vérifie aussi le nom d’hôte. Sans lui, le secret API transite dans une connexion TLS qu’un attaquant placé au milieu pourrait intercepter.

   config system external-resource
     edit "isMalicious-IPs"
       set server-identity-check full
     next
   end

4. 4

   Bloquer le flux dans les politiques de pare-feu

   • Policy & Objects › Firewall Policy › Create New : Destination isMalicious-IPs (dans la section IP ADDRESS FEED), Action DENY, journalisation activée, pour le trafic sortant.
   • Ajoutez une seconde politique avec le flux en Source pour le trafic entrant, avec match-vip activé si des serveurs sont joints par des VIP (pas de champ dans l’interface ; c’est la valeur par défaut à partir de 7.2.4) : une politique de refus ordinaire ne bloque pas le trafic des VIP.
   • Un membre SD-WAN ne peut pas servir d’interface de politique : prenez sa zone.
   • En CLI, edit 0 prend le prochain identifiant libre et ajoute la politique en bas, sous les politiques d’autorisation, où elle ne correspond jamais : remontez les deux au-dessus avec le bloc move.

   config firewall policy
     edit 0
       set name "isMalicious-outbound"
       set srcintf "<LAN_INTERFACE>"
       set dstintf "<WAN_INTERFACE>"
       set srcaddr "all"
       set dstaddr "isMalicious-IPs"
       set action deny
       set schedule "always"
       set service "ALL"
       set logtraffic all
     next
     edit 0
       set name "isMalicious-inbound"
       set srcintf "<WAN_INTERFACE>"
       set dstintf "<LAN_INTERFACE>"
       set srcaddr "isMalicious-IPs"
       set dstaddr "all"
       set action deny
       set schedule "always"
       set service "ALL"
       set logtraffic all
       set match-vip enable
     next
   end
   
   # edit 0 adds each policy at the bottom. Read the two new IDs at the end of
   # "show firewall policy", then put them above the policies that allow the traffic:
   config firewall policy
     move <OUTBOUND_ID> before <FIRST_LAN_TO_WAN_ALLOW_ID>
     move <INBOUND_ID> before <FIRST_WAN_TO_LAN_ALLOW_ID>
   end

5. 5

   Protéger le FortiGate lui-même (facultatif)

   À partir de FortiOS 7.2.4 et 7.4.0, une politique local-in peut prendre le flux d’IP en source, pour rejeter le trafic destiné aux interfaces du FortiGate.

   config firewall local-in-policy
     edit 0
       set intf "<WAN_INTERFACE>"
       set srcaddr "isMalicious-IPs"
       set dstaddr "all"
       set action deny
       set service "ALL"
       set schedule "always"
     next
   end

6. 6

   Bloquer les domaines avec un filtre DNS (facultatif)

   • Create New › Domain Name dans le même menu de connecteurs, avec les mêmes champs et blocklist-domains-c2.txt comme URL ; en CLI, la catégorie 192, ou le prochain numéro libre jusqu’à 221, et server-identity-check full.
   • Puis Security Profiles › DNS Filter : modifiez le profil, activez FortiGuard Category Based Filter, réglez le flux sur Redirect to Block Portal dans Remote Categories, puis appliquez le profil là où passent les requêtes DNS des clients : dans la politique d’autorisation qui laisse le LAN joindre des serveurs DNS (une politique de refus ne porte pas de profil) ou, si les clients utilisent le FortiGate comme résolveur, dans Network › DNS Servers › DNS Service on Interface › DNS Filter (en CLI : config system dns-server, puis edit sur l’interface LAN et set dnsfilter-profile).

   config system external-resource
     edit "isMalicious-Domains"
       set type domain
       set category 192
       set resource "https://api.ismalicious.com/blocklist/download/blocklist-domains-c2.txt"
       set username "<API_KEY>"
       set password "<API_SECRET>"
       set refresh-rate 60
       set server-identity-check full
     next
   end

• Ouvrez le connecteur : une fois le fichier chargé, il indique sa dernière mise à jour et son nombre d’entrées, et View Entries les liste.
• diagnose sys external-resource stats affiche, pour chaque flux, les lignes totales, valides et en erreur et, à partir de 7.4.4, buildable, les entrées chargées sous la limite. Les lignes valides doivent approcher le count de la liste dans /blocklist/stats, et buildable leur être égal.
• L’API REST de supervision renvoie les entrées et l’état du flux : GET /api/v2/monitor/system/external-resource/entry-list?mkey=isMalicious-IPs&status_only=true.
• Les sessions refusées apparaissent dans les journaux des deux politiques ; les domaines bloqués dans Log & Report › Security Events › DNS Query (Log & Report › DNS Query en 7.0).
• Environ un dixième du nombre publié signale l’échantillon de 10 %. Le FortiGate n’affiche pas l’en-tête du fichier : le débogage forticron montre X-Blocklist-Version: lite dans la réponse, ou un curl depuis un poste avec la même clé montre Lite Version dans la ligne Total entries.

# Per feed: total, valid and error lines; from 7.4.4 also buildable, the
# entries loaded under the limit.
diagnose sys external-resource stats

# Watch one download: the request, its Authorization header (your credential,
# in base64: keep it out of tickets), the X-Blocklist-Version answer and the
# TLS result.
diagnose debug reset
diagnose debug application forticron -1
diagnose debug console timestamp enable
diagnose debug enable
# Reload the feeds now rather than waiting for the next refresh:
diagnose test application forticron 8
# ...then:
diagnose debug disable
diagnose debug reset

• blocklist-domains-critical.txt, environ 2 millions de domaines, dépasse la limite par flux jusqu’à 7.4.3 et le budget des modèles d’entrée de gamme à partir de 7.4.4 ; seuls les modèles milieu et haut de gamme en 7.4.4 ou ultérieur peuvent la contenir, et seulement à partir de 7.4.8 ou 7.6.4, car avant, un flux de domaines de plus d’un million d’entrées dans une politique en mode flow épuise la mémoire du moteur IPS. Les listes ne sont pas triées : un chargement tronqué en garde un sous-ensemble arbitraire.
• À partir de 7.4.4, le budget d’entrées est partagé par tous les flux du même type : le flux d’IP d’un autre éditeur puise dans la même enveloppe.
• Ni CIDR ni plages ne sont servis : FortiOS les accepte, mais les listes d’IP contiennent des adresses seules.
• Les sessions existantes sont réévaluées au bout du plus court des deux délais : l’intervalle de mise à jour ou 30 minutes.
• Le filtrage des domaines demande la licence FortiGuard Web Filter. Si elle expire, FortiOS ne peut plus évaluer les domaines et, par défaut, rejette tout le DNS qui passe par le profil : activez Allow DNS requests when a rating error occurs (config ftgd-dns, set options error-allow) si le DNS doit rester ouvert en cas de panne. Sans la licence, utilisez les flux d’IP.
• FortiOS propose STIX comme protocole de flux. Le serveur TAXII d’isMalicious n’a pas été testé avec : utilisez les listes.
• L’échantillon de 10 % est le premier dixième d’un fichier non trié, pas le dixième le plus risqué.

• PA

  Blocklist EDL Palo Alto

  External Dynamic Lists adaptées aux limites de PAN-OS

• pf

  Blocklist d’IP malveillantes pfSense

  Alias URL Table ou flux pfBlockerNG via un relais

• OP

  Blocklist OPNsense

  Alias URL Table avec autorisation Basic

• MT

  Blocklist adlist MikroTik

  Domaines malveillants en adlist DNS RouterOS

• nf

  Blocklist d’IP pour pare-feu Linux

  IP malveillantes en sets nftables sur tout hôte Linux

• Automatisation des blocklists de pare-feu

  Des blocklists de pare-feu à jour

• Blocklist IP et domaines

  Toutes les listes, niveaux et catégories

• Flux de menaces STIX/TAXII

  Collections TAXII 2.1 pour SIEM et TIP

• Documentation de l’API

  Authentification, endpoints et limites

• Réputation d’IP

  Vérifier une adresse avant de la bloquer