EDL Palo Alto d’IP et de domaines malveillants, adaptée aux limites de PAN-OS

Les PA-3400, PA-5400, PA-5500 et PA-7500 contiennent 150 000 IP pour l’ensemble des EDL utilisées en politique, comme les anciens PA-5200 et PA-7000 ; les séries PA-400, PA-500, PA-800 et PA-1400 et la plupart des tailles de VM-Series en contiennent 50 000. List Capacities affiche le chiffre de votre pare-feu. Les plus petits modèles contiennent 50 000 domaines : les trois listes de domaines tiennent sur tous les modèles.

Nombres arrondis d’après la génération du 2026-10-01 ; chaque liste est régénérée toutes les 12 heures. Les chiffres du jour sont publics et ne demandent aucune clé.

# IsMalicious.com Blocklist - IPs (Critical)
# Format: Plain
# Generated: <BUILD_TIME>
# Total entries: <COUNT>
# Update frequency: every 12 hours
# Category: Top 50000 by risk score
# Threat level: Critical
# Website: https://ismalicious.com
# © <YEAR> IsMalicious (compilation). Licensed to the downloading account under https://ismalicious.com/terms; redistribution of the compilation prohibited. Third-party entries remain under their providers' licences — see https://ismalicious.com/sources.
# Filtered by category: top 50000 by risk score
#

• Une version de PAN-OS maintenue : 10.2 (support étendu jusqu’au 31 mars 2027), 11.1, 11.2, 12.1 ou 12.2. L’authentification client des EDL date de PAN-OS 8.0.
• PAN-OS récupère les listes depuis l’interface de management, ou depuis une route de service External Dynamic Lists dédiée (Device › Setup › Services › Service Route Configuration), et les serveurs DNS du pare-feu (Device › Setup › Services) doivent résoudre api.ismalicious.com.
• Pour les listes de domaines seulement : une licence Threat Prevention ou Advanced Threat Prevention.
• Une clé API et son secret isMalicious, dans Compte › Accès API.
• Un accès HTTPS sortant (TCP 443) en IPv4 depuis PAN-OS vers api.ismalicious.com, qui n’a pas d’adresse IPv6.

1. 1

   Copier la clé API et le secret

   Ouvrez Compte › Accès API et copiez la Clé API et le Secret API. La liste complète demande une offre Basic, Pro ou Enterprise ; une clé Free, ou une offre interrompue, charge l’échantillon de 10 %.
2. 2

   Créer un profil de certificat pour l’hôte api

   • L’authentification client ne fonctionne qu’avec l’authentification du serveur : l’EDL a donc besoin d’un profil de certificat contenant les certificats racine et intermédiaires d’api.ismalicious.com, qui utilise Let’s Encrypt.
   • Téléchargez les fichiers ci-dessous et importez chacun dans Device › Certificate Management › Certificates, onglet Device Certificates (Custom Certificates à partir de PAN-OS 12.1), Import, File Format Base64 Encoded Certificate (PEM), sans clé privée.
   • Puis Device › Certificate Management › Certificate Profile › Add : nommez-le isMalicious-LE, ajoutez chaque certificat importé dans CA Certificates, et laissez OCSP désactivé, Let’s Encrypt n’exploitant plus de répondeurs OCSP.

   # Import each file (Base64 Encoded Certificate (PEM), no private key), then add
   # all of them as CA Certificates of one Certificate Profile (isMalicious-LE).
   https://letsencrypt.org/certs/isrgrootx1.pem
   https://letsencrypt.org/certs/isrg-root-x2.pem
   https://letsencrypt.org/certs/gen-y/root-ye.pem
   https://letsencrypt.org/certs/gen-y/root-x2-by-x1.pem
   https://letsencrypt.org/certs/gen-y/root-ye-by-x2.pem
   https://letsencrypt.org/certs/gen-y/int-ye1.pem
   https://letsencrypt.org/certs/gen-y/int-ye2.pem
   https://letsencrypt.org/certs/gen-y/int-ye3.pem

3. 3

   Ajouter la liste d’IP

   Objects › External Dynamic Lists › Add : nom isMalicious-IPs, Type IP List, Source l’URL ci-dessous, Certificate Profile isMalicious-LE. Activez Client Authentication, avec la clé API en Username et le secret API en Password et Confirm Password. Réglez Check for updates sur Hourly (la valeur par défaut documentée varie selon les pages), puis cliquez sur OK. Test Source URL n’est plus disponible une fois l’authentification activée.

   https://api.ismalicious.com/blocklist/download/blocklist-ips-critical50k.txt

4. 4

   Bloquer la liste dans les règles de sécurité

   Policies › Security › Add : deux règles au-dessus de vos règles d’autorisation, l’une avec isMalicious-IPs en Destination Address pour le trafic sortant, l’autre avec la liste en Source Address pour le trafic entrant, toutes deux avec Application any, Service any (une nouvelle règle vaut application-default, qui ne couvre que les ports standard de chaque application), l’Action Deny et la journalisation activée. Puis Commit.
5. 5

   Importer la liste et vérifier sa taille

   Sélectionnez la liste dans Objects › External Dynamic Lists et cliquez sur Import Now. List Entries and Exceptions doit alors contenir 50 000 entrées pour blocklist-ips-critical50k.txt. Environ 5 000, c’est l’échantillon de 10 % : le pare-feu n’a pas envoyé les identifiants (voir Dépannage).
6. 6

   Mettre les domaines en sinkhole (facultatif)

   • Ajoutez une seconde EDL, isMalicious-Domains, de Type Domain List, avec blocklist-domains-c2.txt comme source, le même profil de certificat et l’authentification client, et Check for updates réglé sur Hourly.
   • Dans Objects › Security Profiles › Anti-Spyware, modifiez ou clonez un profil et, dans l’onglet DNS Policies, ajoutez l’EDL sous External Dynamic Lists et réglez sa Policy Action sur sinkhole (elle vaut allow par défaut), en gardant DNS Sinkhole activé.
   • Attachez le profil à la règle de sécurité qui autorise le DNS, puis Commit.

• List Entries and Exceptions montre les entrées récupérées par le pare-feu : 50 000 pour critical50k, les lignes d’en-tête ne comptant pas. Filtrez sur une adresse pour la vérifier.
• List Capacities, sur la même page, montre les entrées utilisées face à ce que le modèle accepte, par type.
• Monitor › Logs › System signale un nom d’utilisateur ou un mot de passe refusé par edl-cli-auth-failure et un échec de certificat par tls-edl-auth-failure. Une récupération ratée indique « EDL(isMalicious-IPs) Unable to fetch external dynamic list », suivi de la raison et de « Using old copy for refresh. »
• Monitor › Logs › Traffic montre les sessions refusées ; Device › Troubleshooting › Security Policy Match teste une adresse listée contre vos règles.

# Operational mode. The output shows 100 entries: read "Total valid entries".
request system external-list show type ip name isMalicious-IPs
request system external-list show type domain name isMalicious-Domains

# The EDL capacities of this model:
show system state | match max-edl

# Monitor > Logs > System, authentication and certificate failures:
(eventid eq edl-cli-auth-failure)
(eventid eq tls-edl-auth-failure)

• PAN-OS envoie-t-il les identifiants dès sa première requête, ou seulement après un 401 ? Ce n’est pas documenté, et ce n’a pas été vérifié sur un équipement. Le point de téléchargement répond à une requête sans identifiants par l’échantillon de 10 % plutôt que par un 401 : c’est pourquoi l’étape d’import vérifie le nombre d’entrées.
• Quand List Capacities affiche 50 000 IP, blocklist-ips-critical50k.txt remplit le budget et ne laisse rien aux autres listes d’IP ; les listes prédéfinies de Palo Alto n’y comptent pas.
• Aucun fichier sans en-tête n’est servi : les lignes d’en-tête sont sautées, sans conséquence, mais elles sont là.
• Le profil de certificat doit suivre les intermédiaires de Let’s Encrypt au fil de leur rotation. Le certificat est ECDSA aujourd’hui ; une réémission en RSA demanderait la chaîne RSA de la même page.
• Ni CIDR ni plages ne sont servis : PAN-OS les accepte, mais les listes d’IP contiennent des adresses seules.
• Les listes de domaines demandent une licence Threat Prevention ou Advanced Threat Prevention.
• L’échantillon de 10 % est le premier dixième d’un fichier non trié, pas le dixième le plus risqué.

• FG

  Flux de menaces FortiGate

  Flux d’IP et de domaines en authentification Basic

• pf

  Blocklist d’IP malveillantes pfSense

  Alias URL Table ou flux pfBlockerNG via un relais

• OP

  Blocklist OPNsense

  Alias URL Table avec autorisation Basic

• MT

  Blocklist adlist MikroTik

  Domaines malveillants en adlist DNS RouterOS

• nf

  Blocklist d’IP pour pare-feu Linux

  IP malveillantes en sets nftables sur tout hôte Linux

• Automatisation des blocklists de pare-feu

  Des blocklists de pare-feu à jour

• Blocklist IP et domaines

  Toutes les listes, niveaux et catégories

• Flux de menaces STIX/TAXII

  Collections TAXII 2.1 pour SIEM et TIP

• Documentation de l’API

  Authentification, endpoints et limites

• Réputation d’IP

  Vérifier une adresse avant de la bloquer