Réseaux les plus abusifs

Les plages réseau de cette base de données ne sont pas de simples acteurs malveillants isolés — ce sont des blocs IP entiers dont les opérateurs ont un historique documenté d'hébergement d'infrastructures de spam, de serveurs de commande et contrôle de malwares, de nœuds relais de botnet ou d'outils d'exploitation de masse. Il ne s'agit pas d'hôtes compromis isolés ; ce sont des allocations réseau qui apparaissent systématiquement dans plusieurs flux de menaces indépendants, sans schéma de trafic légitime pour les compenser.

Les scores proviennent de la corroboration multi-flux : plus il y a de sources indépendantes signalant un réseau, plus le score est élevé. Un bloc qui apparaît dans un seul flux peut être du bruit. Un bloc qui apparaît dans cinq flux non liés est presque certainement hostile. Le moteur de notation d'ipto déduplique les plages qui se chevauchent et attribue le score de confiance le plus élevé lorsque plusieurs flux couvrent le même réseau.

Fonctionnement des scores

Plage de score

1 à 10. Le score représente le niveau de confiance que la plage réseau est malveillante, dérivé du nombre de sources de menace indépendantes qui la signalent et des catégories de menaces qu'elles rapportent. Des scores plus élevés proviennent de sources plus autoritaires ou d'un accord multi-flux plus large.

Score 8 – 10
Critique

Menace de plus haute confiance. Ces blocs sont généralement enregistrés à des opérateurs d'infrastructure criminelle, signalés par des organisations faisant autorité en sécurité du routage, ou représentent un espace IP détourné activement exploité à mauvais escient. Attendez-vous à du spam, de la diffusion de malware, de la collecte d'identifiants ou de l'exploitation coordonnée.

Score 5 – 7
Risque élevé

Confirmé hostile sur plusieurs flux mais pas nécessairement partie d'une infrastructure criminelle organisée. Comprend généralement des clients d'hébergement à toute épreuve, des FAI de spam qui hébergent sciemment des locataires abusifs, et des éleveurs de bots opérant depuis des proxys résidentiels ou des blocs de datacenter.

Score 3 – 4
Moyen

Signalé par plusieurs flux mais avec une corroboration plus faible. Peut inclure des environnements d'hébergement partagé où un petit nombre de locataires abusifs contaminent une allocation plus large, ou des blocs avec un historique d'abus ayant pu changer de mains depuis.

Définitions des colonnes

Plage réseau

Bloc CIDR IPv4 identifié comme abusif. Une entrée /24 signifie que les 256 adresses de ce sous-réseau sont impliquées — le bloc est alloué à, ou activement utilisé par, une infrastructure hostile, pas des hôtes individuels signalés au sein d'une plage propre.

Score

Score de gravité de 1 à 10 reflétant la profondeur de corroboration multi-flux. Les scores sont plafonnés à 10 quel que soit le nombre de flux qui s'accordent, pour garder l'échelle cohérente.

Niveau de risque

Niveau dérivé directement du score : Critique (8–10), Risque élevé (5–7), Moyen (3–4). Utilisez les niveaux pour des décisions de politique générale ; utilisez le score brut pour un classement fin.

Cas d'usage

Règles de pare-feu

Bloquez les connexions entrantes provenant des plages Critique et Risque élevé au périmètre du réseau. Ces blocs n'ont aucun cas d'usage légitime plausible pour atteindre la plupart des services de production.

Filtrage des e-mails

Rejetez les connexions SMTP provenant de plages réseau abusives avant l'analyse du contenu. Si l'IP expéditrice se trouve dans un bloc de niveau Critique, aucun score de contenu ne le réhabilitera.

Limitation du débit API

Appliquez des limites de débit agressives ou des défis CAPTCHA aux requêtes API provenant de blocs Élevé et Critique. Le credential stuffing et les outils de scraping opèrent couramment depuis ces plages.

Enrichissement du renseignement de menace

Croisez avec vos propres événements SIEM/SOAR. Lorsqu'une IP d'alerte se trouve dans une plage réseau Critique, escaladez automatiquement — le contexte de l'infrastructure change la priorité de réponse.

Considération de faux positif : un petit nombre de fournisseurs d'hébergement partagé apparaissent dans les entrées de niveau Moyen car des locataires abusifs contaminent des ASN par ailleurs légitimes. Examinez les blocs de niveau Moyen avant d'appliquer des politiques générales, en particulier pour les services grand public où un blocage excessif a un impact sur l'utilisateur.