Redes Mais Abusivas

As faixas de rede neste banco de dados não são apenas agentes maliciosos individuais — são blocos de IP inteiros cujos operadores têm um histórico documentado de hospedar infraestrutura de spam, servidores de comando e controle de malware, nós de relay de botnet ou ferramentas de exploração em massa. Não são hosts comprometidos isolados; são alocações de rede que aparecem consistentemente em múltiplos feeds de ameaças independentes, sem padrão de tráfego legítimo que as compense.

As pontuações derivam de corroboração entre feeds: quanto mais fontes independentes sinalizam uma rede, maior a pontuação. Um bloco que aparece em um único feed pode ser ruído. Um bloco que aparece em cinco feeds não relacionados é quase certamente hostil. O mecanismo de pontuação do ipto desduplica faixas sobrepostas e atribui a pontuação de maior confiança quando vários feeds cobrem a mesma rede.

Como as pontuações funcionam

Faixa de pontuação

1 a 10. A pontuação representa o nível de confiança de que a faixa de rede é maliciosa, derivado de quantas fontes de ameaça independentes a sinalizam e quais categorias de ameaças elas relatam. Pontuações mais altas vêm de fontes de maior autoridade ou de concordância mais ampla entre feeds.

Pontuação 8 – 10
Crítico

Ameaça de maior confiança. Esses blocos geralmente estão registrados a operadores de infraestrutura criminosa, são relatados por organizações autoritativas de segurança de roteamento, ou representam espaço de IP sequestrado sendo ativamente utilizado indevidamente. Espere spam, entrega de malware, coleta de credenciais ou exploração coordenada.

Pontuação 5 – 7
Alto Risco

Confirmado como hostil em múltiplos feeds, mas não necessariamente parte de infraestrutura criminosa organizada. Comumente inclui clientes de hospedagem à prova de balas, ISPs de spam que hospedam conscientemente inquilinos abusivos, e operadores de bots atuando a partir de proxies residenciais ou blocos de datacenter.

Pontuação 3 – 4
Médio

Sinalizado por múltiplos feeds, mas com menor corroboração. Pode incluir ambientes de hospedagem compartilhada onde um pequeno número de inquilinos abusivos contamina uma alocação maior, ou blocos com abuso histórico que podem ter mudado de mãos desde então.

Definições de colunas

Faixa de Rede

Bloco CIDR IPv4 identificado como abusivo. Uma entrada /24 significa que todos os 256 endereços dessa sub-rede estão implicados — o bloco está alocado a, ou é ativamente usado por, infraestrutura hostil, não hosts individuais sinalizados dentro de uma faixa limpa.

Pontuação

Pontuação de severidade de 1 a 10, refletindo a profundidade de corroboração entre feeds. As pontuações são limitadas a 10, independentemente de quantos feeds concordem, para manter a escala consistente.

Nível de Risco

Nível derivado diretamente da pontuação: Crítico (8–10), Alto Risco (5–7), Médio (3–4). Use os níveis para decisões amplas de política; use a pontuação bruta quando precisar de classificação detalhada.

Casos de uso

Regras de firewall

Bloqueie conexões de entrada de faixas Críticas e de Alto Risco na borda da rede. Esses blocos não têm caso de uso legítimo plausível para acessar a maioria dos serviços de produção.

Filtragem de email

Rejeite conexões SMTP originadas de faixas de rede abusivas antes da análise de conteúdo. Se o IP remetente estiver em um bloco de nível Crítico, nenhuma pontuação de conteúdo o reabilitará.

Limitação de taxa de API

Aplique limites agressivos de taxa ou desafios CAPTCHA a requisições de API vindas de blocos Alto e Crítico. Ferramentas de preenchimento de credenciais e scraping comumente operam a partir dessas faixas.

Enriquecimento de inteligência de ameaças

Faça referência cruzada com seus próprios eventos SIEM/SOAR. Quando um IP de alerta cai dentro de uma faixa de rede Crítica, escale automaticamente — o contexto de infraestrutura muda a prioridade de resposta.

Consideração de falso positivo: um pequeno número de provedores de hospedagem compartilhada aparece em entradas de nível Médio porque inquilinos abusivos contaminam ASNs que, de outra forma, seriam legítimos. Revise blocos de nível Médio antes de aplicar políticas gerais, especialmente para serviços voltados ao consumidor, onde o bloqueio excessivo tem impacto no usuário.