الشبكات المسيئة: كيف تُقيَّم النطاقات وتُصنَّف

الشبكات المسيئة هي كتل من فضاء عناوين IP، تُعبَّر عنها عادةً بنطاقات CIDR، وتصنّفها مصادر استخبارات التهديدات المستقلة على أنها تستضيف بنية تحتية للبريد العشوائي أو البرمجيات الخبيثة أو الشبكات الآلية (botnet) أو الاستغلال، ويرتّبها ipto بحسب مدى اتفاق تلك المصادر. فبدلاً من قائمة حظر مسطّحة، يحصل كل نطاق على درجة من 1 إلى 10 ومستوى خطر، لتقرّر مدى حدّة الإجراء الذي تتخذه حياله.

ما الذي يُعدّ شبكة مسيئة

العنوان الواحد المسيء حادثة منفردة. أما النطاق الكامل الذي يظهر باستمرار في مصادر التهديدات فهو نمط، والنمط عادةً أنفع للمدافع من أي عنوان بمفرده لأن المهاجمين يتنقلون بين العناوين أسرع مما تستطيع المصادر إدراجها. ولهذا تتتبع صفحة الشبكات المسيئة النطاقات لا المضيفات. فإدخال مثل /24 يعني أن جميع العناوين الـ 256 في تلك الشبكة الفرعية متورطة: الكتلة مخصصة لبنية تحتية معادية أو مستخدمة فعلياً منها، وليست مجرد مضيف واحد مُبلَّغ عنه ضمن تخصيص نظيف في الأصل.

تُعاد بناء البيانات من مصادر عامة كل ست ساعات، بالإيقاع نفسه لمصادر التهديدات الأخرى. وتأتي النطاقات حالياً من ثلاثة مدخلات: قائمة التهديدات المجمّعة IPsum، وSpamhaus DROP، وSpamhaus EDROP. وكلٌّ منها هو بذاته مزيج من إشارات أخرى، ولذلك يعدّ ipto الاتفاق بينها هو ما يستحق التقييم. يمكن البحث في الصفحة بحسب الشبكة الفرعية، وتصفيتها بحسب المستوى أو مصدر التغذية، وتصفّحها بواقع 200 إدخال في كل صفحة. والبيانات نفسها متاحة بصيغة JSON من /v1/abuse مع معاملات الاستعلام tier وsource وq وpage.

كيف تُحدَّد الدرجات والمستويات

التقييم بسيط عمداً ليسهل تدقيقه. تنشر IPsum لكل عنوان عدد قوائم الحظر المستقلة التي تتضمنه. ويحتفظ ipto فقط بالعناوين المدرجة في 3 قوائم على الأقل، وتكون الدرجة هي هذا العدد بحدّ أقصى 10. أما إدخالات Spamhaus DROP فتبدأ من 10 لأنها تغطي فضاءً مخطوفاً أو يديره مشغّلون إجراميون، وتبدأ إدخالات EDROP من 9. وعندما يظهر النطاق نفسه في أكثر من مصدر تُعتمد أعلى درجة، فيتفوق إدراج Spamhaus دائماً على عدد IPsum لذلك النطاق.

ويُشتق المستوى مباشرة من الدرجة:

• حرج (من 8 إلى 10): المجموعة الأعلى ثقة. وهي عادةً كتل تديرها جهات بنية تحتية إجرامية أو فضاء مخطوف يُساء استخدامه فعلياً، ويُتوقع منها بريد عشوائي أو توزيع برمجيات خبيثة أو سرقة بيانات اعتماد.
• عالٍ (من 5 إلى 7): نطاقات صُنّفت معادية في عدة مصادر دون أن تكون بالضرورة بنية تحتية إجرامية منظّمة. وهنا يقع عملاء الاستضافة "المحصّنة" ومزودو خدمة الإنترنت المتساهلون مع البريد العشوائي.
• متوسط (من 3 إلى 4): نطاقات صنّفتها عدة مصادر لكن بتقاطع أقل. وهنا تميل إلى الظهور بيئات الاستضافة المشتركة والكتل ذات سجل إساءة قديم قد تكون انتقلت ملكيتها.

استخدم المستوى للسياسات العامة، والدرجة الخام عندما تحتاج إلى ترتيب قائمة طويلة. ولأن الدرجة محدودة بـ 10، لا يصبح النطاق أشدّ حرجاً بظهوره في قائمة أخرى، مما يُبقي المقياس مستقراً مع الزمن.

قرارات الحظر على مستوى النطاق مقابل العنوان الواحد

الفحوص على مستوى العنوان الواحد تجيب عن سؤال ضيّق: هل هذا العنوان بعينه مُصنَّف الآن؟ وهذا ما تفعله أداة فحص إساءة IP والحقل abuse_score الذي يعيده بحث IP، باستخدام النطاقات نفسها، وتنتقل الدرجة مع النطاق فلا حاجة إلى استعلام ثانٍ. أما بيانات النطاقات فتجيب عن سؤال مختلف: هل ينبغي الوثوق بأي شيء قادم من هذا الحي من الإنترنت؟

سلّم معقول للسياسات هو:

• النطاقات الحرجة: أسقِط حركتها عند الحافة، أو ارفض اتصالات SMTP قبل تحليل المحتوى، فلا تقييم على مستوى الرسالة يعيد الاعتبار لمرسل داخل كتلة معادية.
• النطاقات العالية: طبّق حدوداً صارمة للمعدّل أو CAPTCHA على حركة تسجيل الدخول وAPI، حيث تعمل عادةً أدوات حشو بيانات الاعتماد والكشط.
• النطاقات المتوسطة: سجّل الحركة وشدّد التحقق بدلاً من الحظر الكامل.
• أي مستوى: عند إطلاق تنبيه SIEM على عنوان داخل نطاق حرج، صعّده تلقائياً لأن السياق المحيط يغيّر الأولوية.

اجمع إشارة النطاق مع سياق الشبكة من بحث ASN. فإذا كانت ثلاثة نطاقات مُصنَّفة تعود جميعها إلى النظام المستقل نفسه، فقد يكون القرار الأنسب على مستوى ASN، ويعرض البحث المالك والدولة والنطاقات المُعلَنة.

تحفظات بشأن الشبكات المشتركة

لحظر النطاقات كلفة جانبية. فقد يضم تخصيص استضافة مشتركة أو سحابية مستأجراً مسيئاً واحداً ومئات المستأجرين المشروعين، والحظر المطبّق على البادئة كاملة يطالهم جميعاً. ولهذا تستحق إدخالات المستوى المتوسط مراجعة قبل أي سياسة شاملة، خاصةً في الخدمات الموجهة للمستهلكين حيث يعني الحظر الزائد خسارة عميل. كذلك تنتقل ملكية النطاقات: فقد تعود كتلة مدرجة بسبب إساءة قديمة إلى مالك نظيف الآن، ولا يفيد التحديث كل ست ساعات إلا بقدر سرعة تحديث المصادر الأصلية.

وثمة حدّ آخر هو التغطية. فالنطاقات هي كتل IPv4 بصيغة CIDR وعناوين مفردة من المصادر الثلاثة أعلاه؛ ولا تشمل كل الشبكات المعادية، والنتيجة النظيفة ليست ضماناً للثقة. كما أن ipto لا يكتشف الوكلاء السكنيين، فلن تظهر هنا الحركة المُمرَّرة عبر اتصالات منزلية. تعامل مع المستوى بوصفه مدخلاً واحداً إلى جانب أعلام VPN وTor ومراكز البيانات التي يمكنك تصفحها في صفحة مصادر التهديدات. وللاطلاع على سبب أهمية اتفاق المصادر، راجع المقال عن تقاطع قوائم الحظر.

جرّبه على ipto

افتح صفحة الشبكات المسيئة وصفِّ بحسب «حرج» لترى أسوأ النطاقات، أو ابحث عن بادئة تشتبه بها مسبقاً. ومن الشيفرة، استدعِ GET /v1/abuse?tier=critical&page=0 وخزّن الاستجابة مؤقتاً، فهي تُقدَّم بمدة تخزين مؤقت قدرها خمس دقائق. وعمليات البحث عن العناوين المفردة مع abuse_score وis_abuser مجانية دون تسجيل، حتى 1,000 طلب في اليوم.

إجابات مباشرة