> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/menschliche-sicherheit/phishing/allowlist-feed.md). # Feed der Domain-Allowlist Einige Empfänger erhalten die E-Mails der Phishing-Simulation nie, oder die Landingpage wird blockiert, weil ihre Firewall den Datenverkehr zu den Kampagnendomains überprüft oder filtert. Stoïk veröffentlicht einen Domain-Allowlist-Feed, den Ihre Firewall automatisch abrufen kann, um diese Domains von der SSL-Inspektion und der URL-Filterung auszunehmen. ## Voraussetzungen * Ein **FortiGate**, **Palo Alto**, oder **Cato Networks** Firewall. Wir haben bisher noch kein entsprechendes Setup für andere Anbieter gefunden. * Die von Stoïk bereitgestellten Feed-Zugangsdaten (`` und ``). Kontakt wenn Sie sie nicht haben. ## Konfigurieren Sie Ihre Firewall {% tabs %} {% tab title="FortiGate" %} FortiOS 7.4 / 7.6 / 8.0 {% stepper %} {% step %} ### Erstellen Sie die externe Ressource Erstellen Sie in der FortiGate-CLI eine `Kategorie Typ` externe Ressource, die auf die Feed-URL verweist. Eine `Domain-Typ` Ressource kann nicht für eine Ausnahme von der SSL-Inspektion verwendet werden. ``` config system external-resource edit "stoik-allowlist" set status enable set type category set category 192 set resource "https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt" set username "" set password "" set server-identity-check full set refresh-rate 5 next end ``` Hinweise: * `set type category` ist erforderlich (nicht `Domain-Typ`) damit die Ressource zur Liste der von der SSL/SSH-Inspektion ausgenommenen Einträge hinzugefügt werden kann. * `set category 192` weist die Ressource einem benutzerdefinierten FortiGuard-Kategorieslot zu. Die Slots 192–221 sind verfügbar (insgesamt 30 pro Scope/VDOM). Wählen Sie einen freien Slot; die Nummer muss innerhalb des Scopes eindeutig sein. * `set username` und `set password` aktiviert automatisch die HTTP-Basic-Authentifizierung. * `set server-identity-check full` validiert die gesamte TLS-Zertifikatskette und den Hostnamen. Standard ist `keine`; `vollständig` wird für HTTPS-Feeds empfohlen. * `set refresh-rate 5` fragt alle 5 Minuten ab (Einheiten sind Minuten; Bereich 1-43200). {% endstep %} {% step %} ### Von der SSL-Inspektion ausnehmen Fügen Sie die Kategorie zur Liste der von der SSL/SSH-Inspektion ausgenommenen Einträge des SSL/SSH-Inspektionsprofils hinzu. Dies ist der Mechanismus, der die SSL-Deep-Inspection für übereinstimmende Domains tatsächlich umgeht. Ohne diesen Schritt führt FortiGate weiterhin einen MITM der TLS-Verbindung durch. GUI-Pfad: `Sicherheitsprofile` > `SSL/SSH-Inspektion` > Ihr Deep-Inspection-Profil > `Von der SSL-Inspektion ausnehmen` > `Webkategorien` > fügen Sie die `stoik-allowlist` Kategorie hinzu. Entsprechende CLI: ``` config firewall ssl-ssh-profile edit "deep-inspection" config ssl set exempt-categories "stoik-allowlist" end next end ``` {% endstep %} {% step %} ### Überprüfen Sie, ob die Firewall-Richtlinie das Inspektionsprofil verwendet Stellen Sie sicher, dass die Firewall-Richtlinie, die den ausgehenden Datenverkehr der Clients abdeckt, auf das `ssl-ssh-profile` verweist, das Sie im vorherigen Schritt geändert haben. {% hint style="warning" %} **Webfilter „Allow“ leitet den Datenverkehr nicht weiter.** Das Setzen der externen Ressourcenkategorie auf `Zulassen` im Webfilterprofil lässt den Datenverkehr nicht zu. Laut der FortiOS-7.6-Dokumentation: „Die Auswahl der Aktion Allow für den FortiGuard Category Based Filter erlaubt die Kategorie nicht tatsächlich. Sie impliziert lediglich, dass kein Filter angewendet wurde.“ Wenn die Basis-FortiGuard-Bewertung für eine Landing-Domain `Phishing` oder `Malware`, dann `Zulassen` wird die Aktion in der benutzerdefinierten Kategorie dies nicht überschreiben. Verwenden Sie stattdessen die SSL/SSH-Inspektions-Ausnahmeliste (vorheriger Schritt) oder einen Static-URL-Filter-Ausnahmeeintrag im Webfilterprofil. {% endhint %} {% endstep %} {% endstepper %} Offizielle Dokumentation: * [FortiOS 7.6 - Bedrohungs-Feeds](https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/009463/threat-feeds) * [FortiOS 7.6 - FortiGuard-Kategorie-Bedrohungs-Feed](https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/995517/fortiguard-category-threat-feed) * [FortiOS 7.6 - Domainnamen-Bedrohungs-Feed](https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/195303/domain-name-threat-feed) * [FortiOS 7.6.3 CLI-Referenz - config system external-resource](https://docs.fortinet.com/document/fortigate/7.6.3/cli-reference/549356530/config-system-external-resource) {% endtab %} {% tab title="Palo Alto" %} PAN-OS 11.1+ {% stepper %} {% step %} ### Erstellen Sie eine Externe dynamische Liste (Typ URL) Verwenden Sie `Typ URL`, nicht `Typ Domain`. Eine `Typ Domain` EDL ist nur für DNS-Sinkholing vorgesehen und kann nicht in URL-Filterprofilen oder der Entschlüsselungsrichtlinie verwendet werden. GUI-Pfad: `Objekte` > `Externe dynamische Listen` > `Hinzufügen` Einstellungen: * **Typ:** URL * **Quelle:** `https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt` * **Client-Authentifizierung:** aktivieren und dann die `` und `` * **Auf Updates prüfen:** Alle fünf Minuten Hinweise: * Die Client-Authentifizierung ist nur verfügbar, wenn die Quell-URL HTTPS verwendet. * Jede eindeutige Quell-URL wird auf das Limit von 30 EDL-Quellen pro Firewall angerechnet. {% endstep %} {% step %} ### Verkehr in einem URL-Filterprofil zulassen GUI-Pfad: `Objekte` > `Sicherheitsprofile` > `URL-Filterung` > Profil hinzufügen/bearbeiten > `Kategorien` Registerkarte Suchen Sie die EDL in der Kategorienliste und setzen Sie ihre Aktion auf `Zulassen`. Hängen Sie dieses URL-Filterprofil an die Sicherheitsrichtlinienregel an, die den relevanten Datenverkehr abdeckt. {% endstep %} {% step %} ### Eine No-Decrypt-Entschlüsselungsrichtlinienregel hinzufügen Ohne diesen Schritt entschlüsselt und verschlüsselt die Firewall den Verkehr zu den Landing-Domains weiterhin erneut, was die TLS-Zertifikatsprüfung durch das Kampagnenziel beeinträchtigen kann. GUI-Pfad: `Richtlinien` > `Entschlüsselung` > `Hinzufügen` Einstellungen: * **Name:** z. B., `No-Decrypt-Stoik-Allowlist` * **Quelle / Ziel:** Beliebig * **Registerkarte Dienst/URL-Kategorie:** die EDL hinzufügen * **Registerkarte Optionen** > **Aktion:** Nicht entschlüsseln * (Optional, aber empfohlen) Wenden Sie ein No-Decrypt-Profil an, das abgelaufene oder nicht vertrauenswürdige Zertifikate blockiert Verschieben Sie die Regel an den **Anfang** der Entschlüsselungs-Regelbasis, oberhalb aller „Alle HTTPS entschlüsseln“- oder Catch-all-Entschlüsselungsregeln. Entschlüsselungsregeln werden von oben nach unten ausgewertet; die erste Übereinstimmung gewinnt. Nach dem Speichern übernehmen. {% hint style="info" %} **Wildcard-Abdeckung:** `*.example.com` deckt alle Subdomains ab (`login.example.com`, `docs.example.com`) aber nicht die nackte Apex-Domain `example.com`. Beide Zeilen sind im Feed vorhanden. PAN-OS überspringt ungültige Einträge vom URL-Typ stillschweigend; nackte Domain-Einträge (ohne Schema) werden als `example.com/` behandelt und decken die Apex-Domain ab. {% endhint %} {% endstep %} {% endstepper %} Offizielle Dokumentation: * [Externe dynamische Liste](https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-admin/policy/use-an-external-dynamic-list-in-policy/external-dynamic-list) * [Die Firewall für den Zugriff auf eine externe dynamische Liste konfigurieren](https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-admin/policy/use-an-external-dynamic-list-in-policy/configure-the-firewall-to-access-an-external-dynamic-list) * [Eine externe dynamische Liste in einem URL-Filterprofil verwenden](https://docs.paloaltonetworks.com/advanced-url-filtering/administration/configuring-url-filtering/url-category-exceptions/use-an-external-dynamic-list-in-a-url-filtering-profile) * [Richtlinien für URL-Kategorie-Ausnahmen](https://docs.paloaltonetworks.com/advanced-url-filtering/administration/configuring-url-filtering/url-category-exceptions/guidelines-for-url-category-exceptions) * [Richtlinie auf eine externe dynamische Liste anwenden](https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-admin/policy/use-an-external-dynamic-list-in-policy/enforce-policy-on-an-external-dynamic-list) * [Richtlinienbasierte Entschlüsselungsausschlüsse erstellen](https://docs.paloaltonetworks.com/network-security/decryption/administration/decryption-exclusions/create-policy-based-decryption-exclusions) {% endtab %} {% tab title="Cato Networks" %} In der Cato Management Application: 1. Gehen Sie zu `Ressourcen` > `Kategorien` > `Container`. 2. Erstellen Sie einen Container vom Typ `FQDN`. 3. Wählen Sie `Eine Datei von einer URL synchronisieren` als Quelle. 4. Wählen Sie das CSV/TXT-Format und geben Sie die von Stoïk bereitgestellte Feed-URL ein (sie enthält bereits Ihr Zugriffstoken). 5. Wählen Sie ein stündliches Synchronisierungsintervall und klicken Sie dann auf `Container testen` vor dem Speichern. Offizielle Dokumentation: * [Benutzerdefinierte IoC-Listen mit Containern integrieren](https://support.catonetworks.com/hc/en-us/articles/22280839625373-Integrating-Custom-IoC-Lists-with-Containers) {% endtab %} {% endtabs %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-de/menschliche-sicherheit/phishing/allowlist-feed.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.