如何阻止 Shodan 扫描仪

注意：这可能是不必要的。IP 地址阻止列表可能会执行相同的阻止操作...

Shodan是一个搜索引擎，它不会索引网站或网络内容，而是索引互联网上易受攻击的设备。为了设置此索引并使其保持最新状态，Shodan 使用了至少 16 台具有不同 AS 编号和不同物理位置的扫描仪。

如果您想阻止这些扫描仪，本指南可能会有所帮助。

设置主机定义

首先，在防火墙菜单中设置主机定义，并放入以下主机（将 rDNS 名称作为主机名可能很有用）：

已知的Shodan扫描仪（最后更新于2022-02-16）   最新扫描列表

2019 年 <> 月添加了以下其他条目：

2022 年 <> 月添加了以下其他条目：

21 年 2022 月 <> 日添加了以下附加条目：

30 年 2022 月 <> 日添加了以下其他条目：

30 年 2022 月 16 日添加了以下其他条目。这些是通过使用上述 IP 地址，然后扫描包含多个 IP 地址的任何 /<> 子网获得的。他们不一定被看到扫描。注意：同一个 rDNS 记录可以由多个 IP 返回：

资料来源：自己的研究，日志评论。

18 年 2023 月 <> 日添加了以下其他条目：

Shodan也有自己的IP封锁，其中的IP封锁在过去几天里一直非常活跃。207.90.244.0/24207.90.244.0/28

资料来源：自己的研究、日志评论

您可以为每个主机添加注释，例如“scanner”或“shodan”，以明确添加这些内容的原因。

也可以在此处阻止其他常见的扫描仪。但是，请记住，这不是一种可扩展性很强的技术。如果可能，请考虑运行 IPS。

Project 25499扫描仪（最后更新日期：2016-02-28）

来源：http://project25499.com/

设置防火墙组

其次，设置防火墙组并将所有这些主机条目添加到其中。向此防火墙组添加标题和注释。在本指南中，我们假设您已将该组命名为“shodanscanners”。

设置防火墙规则

第三，创建新的防火墙规则。将“shodanscanners”组设置为源。对于目标，请使用“标准网络”并将其设置为“任何”。将“规则操作”设置为“删除”。

此处不建议设置“拒绝”，因为防火墙将向触发防火墙规则的主机发送 ICMP 状态消息。但是，通过这种方式，主机知道至少会发送 ICMP 错误。为了避免这种情况，“丢弃”是合适的，因为网络数据包将被静默丢弃，并且无法判断（无需额外扫描）目标 IP 地址是否刚刚关闭或丢弃网络包。

如果需要，请输入注释，然后点击“添加”以设置新的防火墙规则。

请确保将此规则放在接受某些内容的规则（即端口转发规则）之前，以便立即阻止 shodan 扫描流量。

重新加载防火墙引擎以应用新规则。

此规则的局限性

OpenVPN服务将不受保护 - OVPNINPUT防火墙链位于此规则将登陆的链之上。

本指南的局限性

没有人（也没有任何东西）是完美的。本指南也不是。;-)

例如，如果 Shodan 扫描程序的 IP 地址发生更改，则防火墙规则可能毫无用处，并且不再提供针对扫描程序的任何保护。考虑设置 IPS 以获得额外的保护，因为那里的某些规则还会阻止此处未提及的其他扫描仪。

阻止 Shodan 扫描仪很好，但我想阻止所有扫描仪
这基本上是可能的。但是，设置一个涵盖属于扫描程序的所有 IP 的防火墙主机组是一场噩梦。（找出这些 IP 地址也是一场噩梦，因为大多数扫描器不只是将它们放在他们的网站上......如果您也有类似的想法，那么将 IPS 与合适的规则（这只是一个示例，还有很多）相结合可能是适合您的解决方案。