Redes Más Abusivas

Los rangos de red en esta base de datos no son solo actores maliciosos individuales — son bloques de IP completos cuyos operadores tienen un historial documentado de alojar infraestructura de spam, servidores de comando y control de malware, nodos de relay de botnets o herramientas de explotación masiva. No son hosts comprometidos aislados; son asignaciones de red que aparecen de forma consistente en múltiples feeds de amenazas independientes, sin un patrón de tráfico legítimo que las compense.

Las puntuaciones se derivan de la corroboración multi-feed: cuantas más fuentes independientes marquen una red, mayor será la puntuación. Un bloque que aparece en un solo feed puede ser ruido. Un bloque que aparece en cinco feeds no relacionados es casi con certeza hostil. El motor de puntuación de ipto deduplica rangos superpuestos y asigna la puntuación de mayor confianza cuando varios feeds cubren la misma red.

Cómo funcionan las puntuaciones

Rango de puntuación

De 1 a 10. La puntuación representa el nivel de confianza de que el rango de red es malicioso, derivado de cuántas fuentes de amenazas independientes lo marcan y qué categorías de amenazas reportan. Puntuaciones más altas provienen de fuentes de mayor autoridad o de un acuerdo más amplio entre feeds.

Puntuación 8–10
Crítico

Amenaza de mayor confianza. Estos bloques suelen estar registrados a operadores de infraestructura criminal, reportados por organizaciones de seguridad de enrutamiento con autoridad, o representan espacio de IP secuestrado en uso indebido activo. Se puede esperar spam, entrega de malware, robo de credenciales o explotación coordinada.

Puntuación 5–7
Riesgo alto

Confirmado como hostil en múltiples feeds pero no necesariamente parte de infraestructura criminal organizada. Comúnmente incluye clientes de hosting a prueba de balas, ISP de spam que alojan conscientemente inquilinos abusivos, y operadores de bots que trabajan desde proxies residenciales o bloques de centros de datos.

Puntuación 3–4
Medio

Marcado por múltiples feeds pero con menor corroboración. Puede incluir entornos de hosting compartido donde un pequeño número de inquilinos abusivos contamina una asignación más grande, o bloques con abuso histórico que pueden haber cambiado de manos desde entonces.

Definiciones de columnas

Rango de red

Bloque CIDR IPv4 identificado como abusivo. Una entrada /24 significa que las 256 direcciones de esa subred están implicadas — el bloque está asignado a, o en uso activo por, infraestructura hostil, no hosts individuales marcados dentro de un rango limpio.

Puntuación

Puntuación de gravedad de 1 a 10 que refleja la profundidad de corroboración multi-feed. Las puntuaciones tienen un tope de 10 sin importar cuántos feeds coincidan, para mantener la escala consistente.

Nivel de riesgo

Nivel derivado directamente de la puntuación: Crítico (8–10), Alto riesgo (5–7), Medio (3–4). Usa los niveles para decisiones de política amplias; usa la puntuación bruta cuando necesites una clasificación fina.

Casos de uso

Reglas de firewall

Bloquea las conexiones entrantes de los rangos Crítico y Alto Riesgo en el perímetro de la red. Estos bloques no tienen un caso de uso legítimo plausible para acceder a la mayoría de los servicios de producción.

Filtrado de correo

Rechaza las conexiones SMTP originadas en rangos de red abusivos antes del análisis de contenido. Si la IP remitente está en un bloque de nivel Crítico, ninguna puntuación de contenido lo rehabilitará.

Limitación de tasa de API

Aplica límites de tasa agresivos o desafíos CAPTCHA a las solicitudes de API provenientes de bloques Alto y Crítico. El relleno de credenciales y las herramientas de scraping suelen operar desde estos rangos.

Enriquecimiento de inteligencia de amenazas

Haz referencia cruzada con tus propios eventos SIEM/SOAR. Cuando una IP de alerta cae dentro de un rango de red Crítico, escala automáticamente — el contexto de infraestructura cambia la prioridad de respuesta.

Consideración de falsos positivos: un pequeño número de proveedores de hosting compartido aparece en las entradas de nivel Medio porque inquilinos abusivos contaminan ASN que de otro modo serían legítimos. Revisa los bloques de nivel Medio antes de aplicar políticas generales, especialmente para servicios orientados al consumidor donde el bloqueo excesivo afecta al usuario.