最も悪質なネットワーク

このデータベースのネットワーク範囲は単なる個々の悪意ある行為者ではありません — スパムインフラ、マルウェアのコマンド&コントロールサーバー、ボットネットのリレーノード、または大規模な悪用ツールをホストしてきた記録が文書化されている運営者による、IPブロック全体です。これらは単一の侵害されたホストではなく、それを相殺する正当なトラフィックパターンがないまま、複数の独立した脅威フィードに一貫して現れるネットワーク割り当てです。

スコアは複数フィードの相互検証に基づいて算出されます：ネットワークをフラグする独立ソースが多いほどスコアは高くなります。1つのフィードにのみ現れるブロックはノイズかもしれません。無関係な5つのフィードに現れるブロックはほぼ確実に悪質です。iptoのスコアリングエンジンは重複する範囲を排除し、複数のフィードが同じネットワークをカバーする場合に最も確信度の高いスコアを割り当てます。

スコアの仕組み

スコア範囲

1から10。このスコアは、そのネットワーク範囲が悪意あるものである確信度を表し、独立した脅威ソースがいくつフラグを立てたか、どのカテゴリの脅威を報告したかに基づいて算出されます。より高いスコアは、より権威あるソースまたはより広範な複数フィードの一致から得られます。

スコア8–10
重大

最も確信度の高い脅威。これらのブロックは通常、犯罪インフラ運営者に登録されているか、権威あるルーティングセキュリティ組織によって報告されているか、積極的に悪用されているハイジャックされたIP空間を表します。スパム、マルウェア配布、認証情報の窃取、または組織的な悪用が予想されます。

スコア5–7
高リスク

複数のフィードで敵対的と確認されていますが、必ずしも組織的な犯罪インフラの一部とは限りません。一般的にはブレットプルーフホスティングの顧客、悪用テナントを知りながらホストするスパムISP、住宅用プロキシやデータセンターブロックから運営されるボット管理者が含まれます。

スコア3–4
中

複数のフィードでフラグされていますが、裏付けは低めです。少数の悪用テナントがより大きな割り当てを汚染している共有ホスティング環境や、その後所有者が変わった可能性のある過去の悪用履歴を持つブロックが含まれる場合があります。

列の定義

ネットワーク範囲

悪用と識別されたIPv4 CIDRブロック。/24エントリはそのサブネット内の256アドレスすべてが関与していることを意味します — そのブロックは悪意あるインフラに割り当てられているか積極的に使用されており、クリーンな範囲内の個別のフラグ付きホストではありません。

スコア

複数フィードの相互検証の深さを反映した1〜10の深刻度スコア。スケールを一貫させるため、いくつのフィードが一致してもスコアは10が上限です。

リスクレベル

スコアから直接導出される階層：重大（8–10）、高リスク（5–7）、中（3–4）。大まかなポリシー決定には階層を、きめ細かなランキングが必要な場合は生スコアを使用してください。

ユースケース

ファイアウォールルール

ネットワーク境界で重大および高リスク範囲からの受信接続をブロックします。これらのブロックには、ほとんどの本番サービスに到達するもっともらしい正当な用途はありません。

メールフィルタリング

コンテンツ分析の前に、悪用ネットワーク範囲から発信されたSMTP接続を拒否します。送信元IPが重大階層のブロックにある場合、どれだけコンテンツスコアリングしても復権しません。

APIレート制限

高および重大ブロックからのAPIリクエストに積極的なレート制限やCAPTCHAチャレンジを適用します。クレデンシャルスタッフィングやスクレイピングツールは一般的にこれらの範囲から運用されます。

脅威インテリジェンスの強化

自組織のSIEM/SOARイベントと照合します。アラートIPが重大なネットワーク範囲に該当する場合は自動的にエスカレーションしてください — インフラのコンテキストが対応優先度を変えます。

誤検知の考慮事項：悪用テナントが本来正当なASNを汚染するため、少数の共有ホスティングプロバイダーが中階層のエントリに現れます。特に過剰なブロックがユーザーに影響を与える一般消費者向けサービスでは、一律のポリシーを適用する前に中階層のブロックを確認してください。