CrowdSec 1.8.1 patcht die neue Bot-Erkennungsfunktion

CrowdSec hat Version 1.8.1 veröffentlicht, einen schnellen Patch auf Basis der Version 1.8.0 vom letzten Monat, der einen Fehlalarm in der Bot-Erkennungsfunktion behebt, die das Projekt am 31. August eingeführt hatte. Der Fehler stufte Nutzer des Brave-Browsers mit aktivierten Shields als verdächtig ein; 1.8.1 korrigiert das zusammen mit drei kleineren Korrekturen aufseiten der Local API.

Was sich geändert hat und warum es weiterhin als Alpha gekennzeichnet ist

Version 1.8.0 ergänzte eine Browser-Challenge- und Geräte-Fingerprint-Prüfung, die das AppSec-Modul von CrowdSec dem geschützten Webverkehr vorschalten kann: Es stellt eine Proof-of-Work-Aufgabe, bewertet das Ergebnis und stellt Clients, die bestehen, ein signiertes Cookie aus. Wiederholt verdächtiges Verhalten wird dagegen in eine normale CrowdSec-Warnung und -Entscheidung umgewandelt. CrowdSec kennzeichnet das Feature als Alpha, das heißt, Konfiguration und mitgelieferte Regeln können sich zwischen Releases noch ändern – wichtig zu wissen, bevor es ohne Prüfschritt in eine produktive Blockierrichtlinie eingebunden wird.

Der defensive Regelkreis für MSP-Edges

Das operative Muster, das CrowdSec für gemanagte Edges nützlich macht, hat sich mit dieser Version nicht geändert: erfassen, welche Edges tatsächlich die Auth-, WAF- oder Proxy-Logs liefern, die CrowdSec parsen muss; Hub-Szenarien und Blocklisten abonnieren, die zu diesen Logquellen passen; Bouncer – die Komponenten, die auf CrowdSec-Entscheidungen reagieren – nur dort bereitstellen, wo die Remediation-Richtlinie eines Kunden dies freigegeben hat; und die Prüfung auf Fehlalarme in vereinbarten Änderungsfenstern einplanen, statt Blockierregeln unbeaufsichtigt laufen zu lassen. Dieser Kreislauf gilt unabhängig davon, ob eine bestimmte Website die neue Bot-Erkennungsprüfung aktiviert.

Rollout von 1.8.1

• Wenn die Bot-Erkennung aus 1.8.0 bereits im Einsatz ist, sollte auf 1.8.1 aktualisiert werden, um den Brave-Fehlalarm zu beseitigen, bevor er Support-Tickets erzeugt.
• Die Bot-Erkennung sollte in kundenseitigen SLAs als Alpha behandelt werden – ihre Regeln dürften sich in späteren Versionen ändern.
• Es sollte nachvollziehbar bleiben, wer welche Remediation-Regel pro Mandant freigegeben hat; dieser Nachweis ist wichtiger als das Erkennungsfeature selbst, wenn ein Kunde fragt, warum Datenverkehr blockiert wurde.

Quellen: CrowdSec v1.8.1 Versionshinweise, Help Net Security.