Redes abusivas: cómo se puntúan y clasifican
Las redes abusivas son bloques de espacio de direcciones IP, normalmente expresados como rangos CIDR, que fuentes independientes de inteligencia de amenazas señalan por alojar infraestructura de spam, malware, botnets o explotación, y ipto las clasifica según el grado de coincidencia entre esas fuentes. En lugar de una lista de bloqueo plana, cada rango recibe una puntuación de 1 a 10 y un nivel de riesgo, de modo que puedas decidir con qué firmeza actuar.
Qué se considera una red abusiva
Una sola dirección que se comporta mal es un incidente. Un rango entero que aparece una y otra vez en los feeds de amenazas es un patrón, y ese patrón suele resultar más útil para un defensor que cualquier dirección aislada, porque los atacantes rotan de dirección más rápido de lo que los feeds pueden listarlas. Por eso la página de redes abusivas hace seguimiento de rangos y no de hosts. Una entrada como un /24 implica a las 256 direcciones de esa subred: el bloque está asignado a una infraestructura hostil, o es utilizado activamente por ella, y no se trata solo de un host marcado dentro de una asignación por lo demás limpia.
Los datos se reconstruyen a partir de fuentes públicas en un ciclo de seis horas, la misma cadencia que el resto de feeds de amenazas. Actualmente los rangos proceden de tres entradas: la lista de amenazas agregada IPsum, Spamhaus DROP y Spamhaus EDROP. Cada una de ellas es a su vez una combinación de otras señales, por lo que ipto considera que la coincidencia entre ellas es lo que merece puntuarse. La página permite buscar por subred, filtrar por nivel o por feed de origen, y se pagina de 200 en 200 entradas. Los mismos datos están disponibles en JSON en /v1/abuse con los parámetros de consulta tier, source, q y page.
Cómo se asignan las puntuaciones y los niveles
La puntuación es deliberadamente sencilla de auditar. IPsum publica, para cada dirección, el número de listas de bloqueo independientes que la incluyen. ipto solo conserva las direcciones presentes en al menos 3 listas, y la puntuación es ese recuento, con un máximo de 10. Las entradas de Spamhaus DROP parten de 10 porque cubren espacio secuestrado o gestionado por operadores criminales, y las de EDROP parten de 9. Cuando un mismo rango aparece en más de una fuente, prevalece la puntuación más alta, de modo que un listado de Spamhaus siempre se impone al recuento de IPsum para ese rango.
El nivel se deriva directamente de la puntuación:
- Crítico (8 a 10): el grupo de mayor confianza. Suelen ser bloques gestionados por operadores de infraestructura criminal o espacio secuestrado que se está utilizando de forma activa, donde cabe esperar spam, distribución de malware o robo de credenciales.
- Alto (5 a 7): señalado como hostil en varios feeds sin ser necesariamente infraestructura criminal organizada. Aquí entran los clientes de alojamiento a prueba de balas (bulletproof) y los ISP permisivos con el spam.
- Medio (3 a 4): señalado por varios feeds, pero con menor corroboración. Aquí tienden a aparecer los entornos de alojamiento compartido y los bloques con abusos históricos que pueden haber cambiado de manos.
Usa el nivel para las políticas generales y la puntuación bruta cuando necesites ordenar una lista larga. Como la puntuación tiene un tope de 10, un rango no puede volverse más crítico por aparecer en una lista más, lo que mantiene la escala estable con el tiempo.
Decisiones de bloqueo por rango frente a por IP individual
Las comprobaciones de una sola dirección responden a una pregunta acotada: ¿está esta IP concreta señalada ahora mismo? El verificador de abuso de IP y el campo abuse_score que devuelve la consulta de IP hacen exactamente eso, usando los mismos rangos, y la puntuación viaja con el rango, por lo que no hace falta una segunda consulta. Los datos a nivel de rango responden a otra pregunta: ¿debería confiarse en algo procedente de este vecindario de internet?
Una escala de políticas razonable es:
- Rangos Críticos: descartar el tráfico en el perímetro, o rechazar las conexiones SMTP antes del análisis del contenido, ya que ninguna puntuación a nivel de mensaje rehabilita a un remitente situado en un bloque hostil.
- Rangos Altos: aplicar límites de tasa estrictos o un CAPTCHA al tráfico de inicio de sesión y de API, donde suelen operar las herramientas de credential stuffing y de scraping.
- Rangos Medios: registrar y reforzar la verificación en lugar de bloquear directamente.
- Cualquier nivel: cuando salte una alerta del SIEM sobre una dirección dentro de un rango Crítico, escálala automáticamente, porque el contexto circundante cambia la prioridad.
Combina la señal del rango con el contexto de red de la consulta de ASN. Si tres rangos señalados pertenecen al mismo sistema autónomo, puede que la decisión deba tomarse a nivel de ASN, y la consulta muestra el propietario, el país y los rangos anunciados.
Salvedades en redes compartidas
El bloqueo por rangos tiene un coste colateral. Una asignación de alojamiento compartido o de nube puede contener un inquilino abusivo y cientos de legítimos, y un bloqueo aplicado a todo el prefijo los afecta a todos. Por eso las entradas de nivel Medio merecen una revisión antes de cualquier política generalizada, sobre todo en servicios de cara al consumidor, donde un bloqueo excesivo supone perder un cliente. Además, los rangos cambian de manos: un bloque listado por abusos antiguos puede pertenecer ahora a un titular limpio, y la actualización cada seis horas solo es tan rápida como lo sean las fuentes originales.
Otro límite es la cobertura. Los rangos son bloques CIDR IPv4 y direcciones individuales procedentes de las tres fuentes mencionadas; no cubren todas las redes hostiles, y un resultado limpio no es garantía de confianza. Además, ipto no detecta proxies residenciales, por lo que el tráfico retransmitido a través de conexiones domésticas no aparecerá aquí. Trata el nivel como una señal más junto a los indicadores de VPN, Tor y centro de datos, que puedes consultar en la página de feeds de amenazas. Para entender por qué importa la coincidencia entre fuentes, consulta el artículo sobre la corroboración de listas negras.
Pruébalo en ipto
Abre la página de redes abusivas y filtra por Crítico para ver los peores rangos, o busca un prefijo que ya te resulte sospechoso. Desde código, llama a GET /v1/abuse?tier=critical&page=0 y almacena la respuesta en caché, que se sirve con una vigencia de caché de cinco minutos. Las consultas por dirección con abuse_score e is_abuser son gratuitas y sin registro, hasta 1000 solicitudes al día.