imported>TechCorner-Redaktion: Neuer Artikel: Q-Feeds-Plugin (os-q-feeds-connector 1.6), Stand OPNsense 26.7

2026-10-06T00:00:00Z

Neuer Artikel: Q-Feeds-Plugin (os-q-feeds-connector 1.6), Stand OPNsense 26.7

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-q-feeds-connector 1.6, Unbound DNS (optional DNSCrypt-Proxy)
| bereich = IT-Security
| dauer = ca. 20 Minuten
| rechte = Administrator (OPNsense-WebUI), Konto im Q-Feeds Threat Intelligence Portal
| stand = Oktober 2026
}}
'''Q-Feeds''' ist ein europäischer Anbieter von '''[[Threat Intelligence]]''' aus Hilversum (Niederlande). Er stellt laufend aktualisierte Listen bekannter '''bösartiger IP-Adressen und Domains''' bereit – sogenannte ''[[IOC|Indicators of Compromise]]'' –, gesammelt aus nach eigenen Angaben über 2.500 kommerziellen, öffentlichen (OSINT) und behördlichen Quellen. Mit dem Plugin '''os-q-feeds-connector''' aus dem offiziellen OPNsense-Repository lädt die Firewall diese Listen automatisch: '''IP-Listen''' werden zu Firewall-Aliasen, '''Domain-Listen''' fließen in die DNS-Blocklisten von Unbound bzw. DNSCrypt-Proxy. So blockiert die OPNsense Verbindungen zu Malware-Servern, Botnetz-Steuerservern und Phishing-Seiten, bevor ein Schaden entsteht – nach dem Prinzip einer Next-Generation-Firewall.

== Wie Q-Feeds die OPNsense schützt ==
{| class="wikitable"
! Feed-Typ !! Umsetzung auf der OPNsense !! Wirkung
|-
| '''IP-Adressen''' (z. B. Malware-, Botnetz-, Scanner-IPs) || Dynamischer Firewall-Alias <code>__qfeeds_malware_ip</code> || Block-Regeln verhindern Verbindungen '''zu''' diesen Zielen (aus dem LAN) und '''von''' ihnen (über das WAN)
|-
| '''Domains''' (z. B. Malware-, Phishing-, C2-Domains) || Unbound-DNS-Blockliste bzw. DNSCrypt-Proxy || Clients erhalten bei der Namensauflösung keine echte Adresse – die Verbindung kommt gar nicht erst zustande
|}
URL-Listen (einzelne Pfade auf ansonsten legitimen Servern) unterstützt das Plugin bewusst nicht – dafür wäre ein Proxy bzw. Webfilter nötig.

[[Datei:OPNsense-Q-Feeds.png|thumb|center|750px|Q-Feeds auf der OPNsense: Das Plugin lädt IP- und Domain-Listen aus dem Q-Feeds-Portal; IPs werden über den Alias __qfeeds_malware_ip per Firewall-Regel blockiert, Domains über die Unbound-Blockliste.]]

== Tarife (Stand Oktober 2026) ==
{| class="wikitable"
! Tarif !! Kosten !! Aktualisierung der Listen
|-
| '''Community / Free''' || kostenlos || alle 24 Stunden
|-
| '''Plus''' || kostenpflichtig || alle 4 Stunden
|-
| '''Premium''' || kostenpflichtig || alle 20 Minuten
|}
Die kostenlose Variante eignet sich gut zum Einstieg und für kleine Umgebungen; für Unternehmen bieten die kürzeren Aktualisierungsintervalle der bezahlten Tarife einen spürbar besseren Schutz gegen kurzlebige Phishing- und Malware-Infrastrukturen. Aktuelle Preise und Umfang stehen auf der Q-Feeds-Website.

== Schritt 1: API-Key beantragen ==
# Unter [https://tip.qfeeds.com tip.qfeeds.com] (Q-Feeds Threat Intelligence Portal) ein Konto registrieren.
# Nach der Anmeldung im Dashboard '''Manage API Keys''' öffnen und '''Create Free API Key''' wählen (bzw. den Schlüssel des gebuchten Tarifs verwenden).
# Den API-Key kopieren.

== Schritt 2: Plugin installieren und aktivieren ==
# '''System → Firmware → Plugins''': '''os-q-feeds-connector''' installieren und die Seite neu laden.
# '''Security → Q-Feeds Connect''' öffnen, Reiter '''Settings'''.
# Den '''API key''' eintragen.
# '''Register domain feeds''' aktivieren, wenn Domains per DNS blockiert werden sollen (siehe Schritt 4).
# '''Apply''' – das Plugin lädt den Index und die Listen und legt die Firewall-Aliase an.
Im Reiter '''Feeds''' sind anschließend alle Listen mit Typ (IP bzw. Domain), letzter und nächster Aktualisierung sowie Lizenzstatus zu sehen. Das Plugin prüft per Cronjob alle 5 Minuten, ob neue Listen bereitstehen, und lädt sie im Rahmen des gebuchten Intervalls nach.

== Schritt 3: IP-Feeds per Firewall-Regel blockieren ==
Die Aliase allein blockieren nichts – erst Firewall-Regeln setzen sie um. Unter '''Firewall → Rules''':

{| class="wikitable"
! Parameter !! Regel 1: ausgehend (LAN) !! Regel 2: eingehend (WAN)
|-
| Action || Block || Block
|-
| Interface || LAN (und weitere interne Netze/VLANs) || WAN
|-
| Direction || in || in
|-
| TCP/IP Version || IPv4+IPv6 || IPv4+IPv6
|-
| Quelle || any || <code>__qfeeds_malware_ip</code>
|-
| Ziel || <code>__qfeeds_malware_ip</code> || any
|-
| Log || aktiviert || aktiviert
|-
| Position || '''oberhalb''' der allgemeinen Erlaubnis-Regeln || ganz oben
|}
'''Tipp:''' Statt einer Regel pro internem Interface kann eine '''Floating Rule''' (bzw. eine Regel auf einer Interface-Gruppe) alle internen Netze gleichzeitig abdecken. Die ausgehende Regel ist die wichtigere: Sie stoppt infizierte Geräte, die ihren Steuerserver kontaktieren wollen.

== Schritt 4: Domain-Feeds über Unbound blockieren ==
Voraussetzung ist, dass die Clients '''Unbound auf der OPNsense''' als DNS-Server verwenden (per DHCP verteilt) und Umgehungen unterbunden sind (siehe Sicherheitshinweise).
# Unter ''Security → Q-Feeds Connect'' '''Register domain feeds''' aktivieren und '''Apply'''. Bei älteren OPNsense-Versionen (vor 25.7.9) zusätzlich unter ''Services → Unbound DNS → Blocklist'' die Blocklisten-Funktion aktivieren.
# Optionale Einstellungen im Bereich ''Unbound blocklist settings'':
{| class="wikitable"
! Feld !! Bedeutung
|-
| '''Allowlist Domains''' || Domains, die trotz Treffer erlaubt bleiben (reguläre Ausdrücke möglich) – für Fehlalarme
|-
| '''Source Net(s)''' || Richtlinie nur für bestimmte Netze anwenden, z. B. <code>192.168.10.0/24</code>; leer = alle Clients
|-
| '''Destination Address''' || Adresse, die für gesperrte Domains zurückgegeben wird (Standard <code>0.0.0.0</code>) – z. B. die IP einer internen Hinweisseite
|-
| '''Return NXDOMAIN''' || Statt einer Adresse „Domain existiert nicht“ zurückgeben
|}
Unter '''Reporting → Unbound DNS''' sind blockierte Anfragen und die anfragenden Clients sichtbar.

=== Alternative: DNSCrypt-Proxy ===
Wird statt Unbound das Plugin ''os-dnscrypt-proxy'' genutzt, nach dem Aktivieren von ''Register domain feeds'' in dessen Einstellungen die Q-Feeds-Blockliste auswählen.

== Schritt 5: Ereignisse auswerten ==
Der Reiter '''Events''' zeigt alle protokollierten Treffer der Q-Feeds-Aliase mit Zeitpunkt, Interface, Richtung, Quelle und Ziel (inkl. Ports) – vorausgesetzt, die Block-Regeln haben '''Logging''' aktiviert. Über die integrierte '''Threat-Lookup'''-Schaltfläche lassen sich Details zu einer IP im Q-Feeds-Portal nachschlagen. Ein Dashboard-Widget zeigt Lizenzstatus und Statistik.

'''Vorgehen bei ausgehenden Treffern:''' Ein Gerät im LAN, das wiederholt Ziele aus den Malware-Listen kontaktiert, ist ein deutliches Warnsignal. Über DHCP-Leases bzw. ARP-Tabelle das Gerät identifizieren, isolieren und untersuchen (Virenscan, EDR, ggf. Neuinstallation).

== Zusammenspiel mit anderen Schutzschichten ==
{| class="wikitable"
! Werkzeug !! Ansatz !! Ergänzung zu Q-Feeds
|-
| '''Q-Feeds''' || Kuratierte, kommerziell gepflegte Listen bekannter Schad-IPs und -Domains || Vorbeugendes Blockieren
|-
| [[OPNsense - Maltrail Erkennung von Schadverkehr|Maltrail]] || Erkennung anhand öffentlicher Listen und Heuristik, Weboberfläche mit Ereignissen || Erkennt auch unbekannte Muster; liefert Kontext
|-
| Suricata (''Services → Intrusion Detection'') || Signaturbasiertes IDS/IPS auf Paketebene || Erkennt Angriffe und Exploits, auch auf erlaubten Verbindungen
|-
| CrowdSec (Plugin) || Verhaltensbasierte Sperren aus Logdateien plus Community-Blocklisten || Schützt eigene veröffentlichte Dienste vor Angreifern
|-
| SIEM || Zentrale Korrelation || Bringt Firewall-, DNS- und Endpoint-Ereignisse zusammen
|}

== Sicherheitshinweise und Grenzen ==
* '''DNS-Umgehung verhindern:''' Domain-Sperren wirken nur, wenn Clients die OPNsense als DNS-Server nutzen. Ausgehendes DNS (TCP/UDP 53) zu anderen Servern per Regel blockieren bzw. auf Unbound umleiten und – soweit möglich – DNS over HTTPS (DoH) in Browsern per Richtlinie deaktivieren. Die IP-Feeds wirken unabhängig davon.
* '''Fehlalarme:''' Selten können legitime Ziele betroffen sein (z. B. geteilte Hosting-IPs). Für Domains die Allowlist nutzen; für IPs eine Erlaubnis-Regel oberhalb der Block-Regel anlegen.
* '''Kein Ersatz für Patches und Endpoint-Schutz:''' Threat Intelligence verkleinert die Angriffsfläche, ersetzt aber weder Updates noch EDR oder Backups.
* '''Lizenz im Blick behalten:''' Seit Plugin 1.6 warnt die Oberfläche bei abgelaufener oder ungültiger Lizenz – dann werden die Listen nicht mehr aktualisiert.
* '''Logs zentral auswerten:''' Firewall- und DNS-Treffer an ein SIEM weiterleiten, z. B. ein [https://www.max-it.de/it-services/siem-open-source/ Open-Source-SIEM auf Wazuh-Basis].

== Fehlerbehebung ==
{| class="wikitable"
! Symptom !! Lösung
|-
| Reiter ''Feeds'' leer || API-Key falsch oder nicht gespeichert; ausgehende HTTPS-Verbindung der Firewall zum Q-Feeds-Portal prüfen; ''Apply'' erneut ausführen.
|-
| Alias vorhanden, aber nichts wird blockiert || Firewall-Regeln fehlen oder stehen unterhalb einer Erlaubnis-Regel.
|-
| Keine Events || Logging in den Block-Regeln aktivieren.
|-
| Domains werden nicht blockiert || ''Register domain feeds'' aus, Clients nutzen anderen DNS-Server (oder DoH), bei älteren Versionen Unbound-Blocklist nicht aktiviert.
|-
| Feeds veraltet || Lizenzstatus im Reiter ''Feeds''/Widget prüfen; im kostenlosen Tarif erfolgt die Aktualisierung nur alle 24 Stunden.
|}
Für die Fehlersuche auf der Shell steht <code>/usr/local/opnsense/scripts/qfeeds/qfeedsctl.py</code> mit den Aktionen ''show_index'', ''stats'' und ''logs'' zur Verfügung.

== Fazit ==
Q-Feeds bringt kuratierte Threat Intelligence aus Europa mit wenigen Klicks auf die OPNsense: IP-Listen als Firewall-Aliase, Domain-Listen als DNS-Blocklisten, dazu eine Ereignisübersicht. Schon der kostenlose Tarif verbessert den Schutz vor bekannten Malware- und Phishing-Infrastrukturen spürbar; für Unternehmen lohnen sich die häufigeren Aktualisierungen der bezahlten Tarife. Entscheidend sind die richtigen Firewall-Regeln – vor allem für ausgehenden Verkehr – und ein DNS-Konzept, das Umgehungen verhindert.

== Unterstützung von m.a.x. it ==
Sie möchten Threat Intelligence, IDS/IPS und DNS-Filter auf Ihrer OPNsense kombinieren und Treffer zentral auswerten? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Leistungen von m.a.x. it].

== Siehe auch ==
* [[OPNsense - Maltrail Erkennung von Schadverkehr]]
* [[OPNsense - ntopng Traffic-Analyse]]
* [[OPNsense - Mit GeoIP-Filter]]
* [[Threat Intelligence]]
* [[IOC]]
* [[Botnet]]
* [[Malware]]
* [[Phishing]]
* [[Ransomware]]

== Links und Quellen ==
* [https://docs.opnsense.org/manual/qfeeds.html OPNsense-Doku – Q-Feeds connector]
* [https://qfeeds.com/opnsense/ Q-Feeds – Informationen und Tarife für OPNsense]
* [https://github.com/opnsense/plugins/tree/master/security/q-feeds-connector Quellcode und Changelog des Plugins os-q-feeds-connector]
* [https://www.max-it.de/it-services/cybersecurity/ m.a.x. it – Cybersecurity-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Q-Feeds Threat Intelligence - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Q-Feeds-Plugin (os-q-feeds-connector 1.6), Stand OPNsense 26.7