सबसे एब्यूज़िव नेटवर्क्स

इस डेटाबेस में मौजूद नेटवर्क रेंज सिर्फ़ इंडिविजुअल बैड एक्टर्स नहीं हैं — ये पूरे IP ब्लॉक हैं जिनके ऑपरेटर्स का दस्तावेज़ी रिकॉर्ड है कि वे स्पैम इन्फ़्रास्ट्रक्चर, मैलवेयर कमांड-एंड-कंट्रोल सर्वर, बॉटनेट रिले नोड्स, या मास-एक्सप्लॉइटेशन टूलिंग होस्ट करते हैं। ये सिंगल कॉम्प्रोमाइज़्ड होस्ट नहीं हैं; ये नेटवर्क आवंटन हैं जो कई स्वतंत्र थ्रेट फ़ीड्स में लगातार दिखते हैं, बिना किसी लेजिटिमेट ट्रैफ़िक पैटर्न के जो इन्हें संतुलित करे।

स्कोर क्रॉस-फ़ीड कोरोबोरेशन से तय होते हैं: किसी नेटवर्क को जितने ज़्यादा स्वतंत्र सोर्स फ़्लैग करते हैं, स्कोर उतना ही ऊंचा होता है। जो ब्लॉक सिर्फ़ एक फ़ीड में दिखे वह शोर हो सकता है। जो ब्लॉक पांच असंबद्ध फ़ीड्स में दिखे वह लगभग निश्चित रूप से हॉस्टाइल है। ipto का स्कोरिंग इंजन ओवरलैपिंग रेंज को डिड्यूप करता है और जब कई फ़ीड्स एक ही नेटवर्क को कवर करते हैं तो सबसे ज़्यादा कॉन्फ़िडेंस वाला स्कोर देता है।

स्कोर कैसे काम करते हैं

स्कोर रेंज

1 से 10। यह स्कोर बताता है कि नेटवर्क रेंज के मैलिशियस होने का कितना भरोसा है, जो इस पर निर्भर करता है कि कितने स्वतंत्र थ्रेट सोर्स इसे फ़्लैग करते हैं और वे किन थ्रेट कैटेगरी की रिपोर्ट करते हैं। ऊंचे स्कोर ज़्यादा भरोसेमंद सोर्स या व्यापक मल्टी-फ़ीड सहमति से आते हैं।

स्कोर 8–10
क्रिटिकल

सबसे ज़्यादा कॉन्फ़िडेंस वाला थ्रेट। ये ब्लॉक आमतौर पर क्रिमिनल इन्फ़्रास्ट्रक्चर ऑपरेटर्स के नाम रजिस्टर्ड होते हैं, प्रतिष्ठित राउटिंग सिक्योरिटी संगठनों द्वारा रिपोर्ट किए जाते हैं, या ऐसी हाईजैक्ड IP स्पेस को दर्शाते हैं जिसका सक्रिय रूप से दुरुपयोग हो रहा है। स्पैम, मैलवेयर डिलीवरी, क्रेडेंशियल हार्वेस्टिंग या समन्वित एक्सप्लॉइटेशन की उम्मीद करें।

स्कोर 5–7
हाई रिस्क

कई फ़ीड्स में हॉस्टाइल कन्फ़र्म, पर ज़रूरी नहीं कि यह किसी संगठित क्रिमिनल इन्फ़्रास्ट्रक्चर का हिस्सा हो। इसमें आमतौर पर बुलेटप्रूफ़ होस्टिंग ग्राहक, जान-बूझकर एब्यूज़िव टेनेंट्स होस्ट करने वाले स्पैम ISP, और रेजिडेंशियल प्रॉक्सी या डेटासेंटर ब्लॉक्स से चलने वाले बॉट हर्डर्स शामिल होते हैं।

स्कोर 3–4
मीडियम

कई फ़ीड्स से फ़्लैग किया गया पर कम कोरोबोरेशन के साथ। इसमें ऐसे शेयर्ड होस्टिंग एनवायरनमेंट शामिल हो सकते हैं जहां कुछ एब्यूज़िव टेनेंट्स बड़े आवंटन को दूषित करते हैं, या ऐसे ब्लॉक जिनका ऐतिहासिक एब्यूज़ रहा हो और बाद में मालिकाना बदल गया हो।

कॉलम परिभाषाएं

नेटवर्क रेंज

एब्यूज़िव के रूप में पहचाना गया IPv4 CIDR ब्लॉक। एक /24 एंट्री का मतलब है कि उस सबनेट के सभी 256 एड्रेस शामिल हैं — यह ब्लॉक हॉस्टाइल इन्फ़्रास्ट्रक्चर को आवंटित है या उसके द्वारा सक्रिय रूप से इस्तेमाल हो रहा है, न कि किसी क्लीन रेंज में मौजूद इंडिविजुअल फ़्लैग्ड होस्ट।

स्कोर

1–10 का सिवियरिटी स्कोर, जो क्रॉस-फ़ीड कोरोबोरेशन की गहराई दर्शाता है। स्केल को कंसिस्टेंट रखने के लिए, चाहे कितने भी फ़ीड्स सहमत हों, स्कोर 10 पर कैप्ड है।

रिस्क लेवल

स्कोर से सीधे तय होने वाला टियर: क्रिटिकल (8–10), हाई रिस्क (5–7), मीडियम (3–4)। व्यापक पॉलिसी निर्णयों के लिए टियर इस्तेमाल करें; बारीक रैंकिंग चाहिए तो रॉ स्कोर इस्तेमाल करें।

यूज़ केसेज़

फ़ायरवॉल नियम

नेटवर्क पेरिमीटर पर क्रिटिकल व हाई रिस्क रेंज से इनबाउंड कनेक्शन ब्लॉक करें। इन ब्लॉक्स का ज़्यादातर प्रोडक्शन सर्विसेज़ तक पहुंचने का कोई ठोस लेजिटिमेट यूज़-केस नहीं है।

ईमेल फ़िल्टरिंग

कंटेंट एनालिसिस से पहले एब्यूज़िव नेटवर्क रेंज से आने वाले SMTP कनेक्शन रिजेक्ट करें। अगर भेजने वाला IP किसी क्रिटिकल-टियर ब्लॉक में है, तो कोई भी कंटेंट स्कोरिंग उसे पुनर्वासित नहीं करेगी।

API रेट लिमिटिंग

हाई व क्रिटिकल ब्लॉक्स से आने वाली API रिक्वेस्ट्स पर सख़्त रेट लिमिट या CAPTCHA चैलेंज लगाएं। क्रेडेंशियल स्टफ़िंग व स्क्रैपिंग टूलिंग अक्सर इन्हीं रेंज से चलती है।

थ्रेट इंटेलिजेंस एनरिचमेंट

अपने SIEM/SOAR इवेंट्स से क्रॉस-रेफ़रेंस करें। जब कोई अलर्ट IP किसी क्रिटिकल नेटवर्क रेंज में आता है, तो ऑटोमैटिकली एस्केलेट करें — इन्फ़्रास्ट्रक्चर संदर्भ रिस्पॉन्स प्रायोरिटी बदल देता है।

फ़ॉल्स पॉज़िटिव पर विचार: कुछ शेयर्ड होस्टिंग प्रोवाइडर मीडियम-टियर एंट्रीज़ में इसलिए दिखते हैं क्योंकि एब्यूज़िव टेनेंट्स अन्यथा लेजिटिमेट ASN को दूषित कर देते हैं। ब्लैंकेट पॉलिसी लागू करने से पहले मीडियम-टियर ब्लॉक्स की समीक्षा करें, खासकर कंज़्यूमर-फ़ेसिंग सर्विसेज़ के लिए जहां ओवर-ब्लॉकिंग का यूज़र पर असर पड़ता है।