Erweiterte Sperrregeln

• Übersicht
• Sperrregeln öffnen
• Regel erstellen
• Regeln bearbeiten, deaktivieren und anordnen
• Import und Export

Mit erweiterten Sperrregeln legen Sie eigene Anmeldelimits pro Protokoll fest, sperren IPs bei bestimmten Benutzernamen oder sperren ein IPv4-Subnetz nach Aktivitäten mehrerer Quelladressen.

Protokolleinstellungen ersetzen die allgemeinen Einstellungen für das gewählte Protokoll. Benutzernamen- und Subnetzregeln ergänzen die normalen Anmeldelimits. Adressen auf der Whitelist bleiben auch innerhalb gesperrter Subnetze erreichbar.

Klicken Sie auf Extras, Optionen, um die Optionen zu öffnen.

Klicken Sie auf der Registerkarte Allgemein auf Erweiterte Sperrregeln. Der Regeldialog wird geöffnet:

Klicken Sie auf Hinzufügen und wählen Sie den Regeltyp. Alternativ verwenden Sie im Kontextmenü der Tabelle das Untermenü Hinzufügen.

Tastenkürzel: Alt+P - Protokolleinstellungen; Alt+U - Benutzernamenregel; Alt+S - Subnetzregel.

Diese Felder sind allen drei Regeltypen gemeinsam:

• Regelname: Wählen Sie einen eindeutigen Namen mit bis zu 100 Zeichen, an dem Sie die Regel in der Liste erkennen.
• Regel aktivieren: Aktivieren Sie diese Option, um die Regel anzuwenden. Ohne Häkchen bleiben die Einstellungen gespeichert, werden aber nicht angewendet.
• Automatisch entsperren nach (Stunden): Legt die Sperrdauer in ganzen Stunden zwischen 1 und 8.760 fest. Sie beginnt beim Auslösen der Regel. Eine bereits länger geltende Sperre bleibt erhalten.

Protokolleinstellungen

Wählen Sie Hinzufügen, Protokolleinstellungen. Dieses Beispiel sperrt eine IP nach 5 fehlgeschlagenen RDP-Anmeldungen für 24 Stunden und setzt ihren RDP-Zähler nach 30 Minuten zurück.

• Geschütztes Protokoll: Wählen Sie ein geschütztes Protokoll. Pro Protokoll ist nur eine Einstellungsregel zulässig, auch wenn sie deaktiviert ist.
• Maximale Anzahl fehlgeschlagener Anmeldungen pro IP-Adresse: Jede Quell-IP hat für dieses Protokoll einen eigenen Zähler. Andere Protokolle erhöhen ihn nicht; Versuche für dieses Protokoll erhöhen auch nicht den gemeinsamen allgemeinen Zähler.
• Zähler fehlgeschlagener Anmeldungen zurücksetzen nach: Das Intervall beginnt beim ersten fehlgeschlagenen Versuch. Wählen Sie Minuten oder Stunden. Zulässig sind 1 Minute bis 999 Stunden.

Benutzernamenregel

Wählen Sie Hinzufügen, Benutzernamenregel. Dieses Beispiel sperrt eine IP bei einer erkannten fehlgeschlagenen Anmeldung als root, admin oder test, ohne das normale Versuchslimit abzuwarten.

• Benutzername ist einer von: Geben Sie pro Zeile einen exakten Benutzernamen ein, wie ihn die Erkennungs-Engine meldet. Platzhalter werden nicht unterstützt. Zulässig sind bis zu 1.000 Namen mit jeweils bis zu 256 Zeichen.
• Groß-/Kleinschreibung ignorieren: Bei aktivierter Option gelten root und ROOT als derselbe Eintrag. Deaktivieren Sie sie für einen Vergleich mit Groß-/Kleinschreibung.
• Geschütztes Protokoll: Wählen Sie ein Protokoll oder alle geschützten Protokolle. Die Regel erfasst nur Meldungen mit Benutzernamen; erfolgreiche Anmeldungen lösen sie nicht aus.

Subnetzregel

Wählen Sie Hinzufügen, Subnetzregel. Dieses Beispiel sperrt ein /24-Subnetz, wenn darin innerhalb der letzten 10 Minuten 10 verschiedene Quell-IPs erkannt wurden.

• Aktivität zählen von: Wählen Sie IPs mit fehlgeschlagenen Anmeldungen oder nach lokalen Erkennungen gesperrte IPs. Die zweite Option zählt keine IP-Cloud-Einträge, manuellen Blacklist-Einträge oder bestehenden Bereichssperren.
• Subnetz ab dieser Anzahl verschiedener IPs sperren: Jede Quell-IP wird im Beobachtungszeitraum einmal gezählt. Wiederholte Aktivitäten einer Adresse erreichen einen Schwellwert von 10 nicht allein. Der Wert muss mindestens 2 betragen und darf die Subnetzgröße nicht überschreiten.
• Beobachtungszeitraum: Ein gleitender Zeitraum ab der letzten Aktivität jeder Adresse. Wählen Sie Minuten oder Stunden zwischen 1 Minute und 999 Stunden.
• Zu sperrendes IPv4-Subnetz: Wählen Sie /16, /20, /24 oder /28. Die Quell-IP bestimmt das Subnetz: 203.0.113.7 gehört etwa zu 203.0.113.0/24 mit 256 Adressen. Subnetzregeln gelten nur für IPv4.
• Geschütztes Protokoll: Wählen Sie ein geschütztes Protokoll oder alle geschützten Protokolle. Nur passende Erkennungen tragen zum Schwellwert bei.

Klicken Sie im Regeleditor, anschließend im Regeldialog und zuletzt in den Optionen auf Speichern, um die Änderungen anzuwenden.

Wählen Sie eine Regel und klicken Sie auf Bearbeiten, doppelklicken Sie darauf oder drücken Sie F2. Das Häkchen in der ersten Spalte aktiviert oder deaktiviert die Regel. Mit Löschen entfernen Sie die ausgewählten Regeln.

Ordnen Sie ausgewählte Zeilen über Mehr, Nach oben oder Mehr, Nach unten an. Dies ändert nur die Anzeigereihenfolge: Jede passende aktive Regel wird ausgewertet.

Wählen Sie mit Strg oder Umschalt mehrere Zeilen oder mit Strg+A alle aus. Sie können ein Auswahlrechteck auch von der leeren Tabellenfläche aus ziehen. Ein Klick mit der linken oder rechten Maustaste auf die leere Fläche hebt die Auswahl auf.

Mit Mehr, Exportieren speichern Sie ausgewählte Regeln als JSON. Wählen Sie vorher mit Strg+A alle Regeln aus, um alles zu exportieren. Mehr, Importieren fügt Regeln aus einer JSON-Datei zur Liste hinzu.

IDs bleiben beim Import erhalten. Doppelte IDs, Namen oder Protokolleinstellungen werden abgelehnt, ohne einen Teil der Datei hinzuzufügen. Entfernen Sie beim Wiederherstellen desselben Satzes zuerst die Konflikte. Die Grenze beträgt 100 Regeln.

Die CLI-Befehle für Sperrregeln verwenden dasselbe JSON-Format. Der CLI-Export enthält immer alle Regeln; der Import unterstützt append und replace.

• RdpGuard-Befehlszeilenschnittstelle
• Erweiterte Sperreinstellungen: alle oder ausgewählte Ports
• Whitelist und Blacklist
• RdpGuard-Onlinehilfe