Infrawatch — einen Scanner ohne Forward-DNS über autoritatives Reverse-DNS verifizieren
von Shopbetreibern für Shopbetreiber.
Wie der PARC-Feed für Infrawatch entstand: ein Threat-Intel-Scanner, der verstreute Einzel-IPs über das Netz von Hydra Communications mietet. Kein FCrDNS möglich — identifiziert per autoritativem Reverse-DNS *.infrawat.ch. 581 IPs, aus der CINS-Blacklist abgeleitet und stabil bestätigt.
Infrawatch (infrawatch.com) ist ein internet-weiter Threat-Intel-Scanner — „Real Time Internet Intelligence“, trackt Proxies, VPNs und feindliche Netze. Kein SEO-Tool. Infrawatch mietet verstreute Einzel-IPs quer über das Netz von Hydra Communications (AS25369, ein ISP) — keine eigene Range, keine offizielle Liste. Ein klassischer FCrDNS-Beweis ist nicht möglich (keine Forward-Records). Identifiziert wird stattdessen über autoritatives Reverse-DNS *.infrawat.ch. 1.177 IPs: aus der CINS-Blacklist abgeleitet (581) und über einen Reverse-Scan der Nachbar-Ranges vervollständigt. Teil unseres PARC-Security-Feeds.
infrawatch.json — Feed ansehen infrawatch.com →
Warum hier kein FCrDNS — und warum Reverse-DNS trotzdem reicht
Unsere übrigen Scanner-Feeds verifizieren wir bidirektional (FCrDNS): PTR vorwärts wieder auf dieselbe IP. Bei Infrawatch geht das nicht — die Reverse-Namen 185-216-145-162.infrawat.ch haben keinen Forward-Record. Das ist hier aber kein Mangel:
Einen Reverse-DNS-Eintrag kann nur setzen, wer die IP kontrolliert (der Mieter, über den Hoster). Eine fremde IP kann niemand auf infrawat.ch benennen. Wenn also der PTR einer IP auf *.infrawat.ch zeigt, gehört diese IP zu Infrawatch — nicht fälschbar. FCrDNS sichert sonst gegen Identitäts-Vortäuschung im Forward (jeder kann „ich bin Googlebot“ behaupten); dieses Risiko gibt es im autoritativen Reverse nicht. Reverse-only ist hier also ein valider Eigentums-Beweis.
AS25369 gehört dem ISP, nicht Infrawatch
Die 581 IPs liegen über ~21 völlig verschiedene Prefixe verstreut (69.5.169.0/24, 194.88.98.0/23, 185.216.144.0/22, 217.146.80.0/20, 5.226.136.0/21 …), alle auf AS25369 — Hydra Communications Ltd. Hydra ist ein Hosting-/IP-Transit-Provider, nicht Infrawatch. Die Blöcke sind geteilt: die Nachbar-IPs gehören anderen Hydra-Kunden —
185.216.145.5 → moschatelineage.com
185.216.145.10 → baremetal.zare.com
185.216.145.162 → 185-216-145-162.infrawat.ch ← Infrawatch
185.216.145.200 → discoverproassistance.com
Deshalb taugt weder ASN noch Prefix als Kennung — nur der per-IP-Reverse-DNS. Der Feed ist daher per-IP, nicht range-basiert.
Von 581 auf 1.177 — Nachbarn aus den abgeleiteten Ranges
CINS lieferte 581 verstreute Einzel-IPs. Aus denen kennen wir die /24-Cluster, in denen Infrawatch sitzt. Da der Reverse-PTR jede Infrawatch-IP eindeutig markiert, lassen sich die Nachbarn aufdecken: Wir haben die vollen BGP-Prefixe rund um die bekannten IPs (22.784 Adressen über 21 /24) komplett reverse-gescannt — verteilt auf einen Pool von 16 DNS-Resolvern — und jede IP mit PTR *.infrawat.ch behalten.
Ergebnis: 1.177 IPs (581 aus CINS + 596 neu entdeckte Nachbarn). Aufschlussreich: alle Treffer liegen in denselben 21 /24 — der Rest der größeren Hydra-Prefixe sind andere Kunden. Damit ist Infrawatchs aktive Fläche in diesen Blöcken ausgeschöpft.
Reverse-DNS-Muster & Stabilität
<ip-mit-bindestrichen>.infrawat.ch (z. B. 185-216-145-162.infrawat.ch)
Wir haben alle 1.177 IPs frisch reverse-aufgelöst: 1.177 von 1.177 zeigen auf *.infrawat.ch — keiner rotiert weg. Anders als Cloud-Scanner (Stretchoid auf Azure) sitzt Infrawatch auf festem Hosting, der Bestand ist also stabil. Der PARC-Feed wird per regelmäßiger Reverse-Re-Verifikation aktuell gehalten.