Réseaux abusifs : notation et niveaux de risque
Les réseaux abusifs sont des blocs d'espace d'adressage IP, généralement exprimés sous forme de plages CIDR, que des sources de renseignement sur les menaces indépendantes signalent comme hébergeant du spam, des malwares, des botnets ou une infrastructure d'exploitation. ipto les classe selon le degré de concordance entre ces sources. Plutôt qu'une simple liste de blocage, chaque plage reçoit un score de 1 à 10 et un niveau de risque, ce qui vous permet de décider avec quelle fermeté agir.
Ce qui constitue un réseau abusif
Une adresse isolée qui se comporte mal est un incident. Une plage entière qui revient sans cesse dans les flux de menaces est un schéma, et ce schéma est généralement plus utile à un défenseur qu'une adresse prise isolément, car les attaquants changent d'adresse plus vite que les flux ne peuvent les répertorier. La page des réseaux abusifs suit des plages plutôt que des hôtes pour cette raison. Une entrée comme un /24 signifie que les 256 adresses de ce sous-réseau sont concernées : le bloc est attribué à une infrastructure hostile, ou activement utilisé par elle, et ne se limite pas à un hôte signalé au sein d'une allocation par ailleurs saine.
Les données sont reconstruites à partir de sources publiques toutes les six heures, au même rythme que les autres flux de menaces. Les plages proviennent actuellement de trois entrées : la liste de menaces agrégée IPsum, Spamhaus DROP et Spamhaus EDROP. Chacune est elle-même une combinaison d'autres signaux, ce qui explique pourquoi ipto considère la concordance entre elles comme l'élément à noter. La page peut être interrogée par sous-réseau, filtrée par niveau ou par flux source, et paginée par 200 entrées. Les mêmes données sont disponibles en JSON via /v1/abuse avec les paramètres de requête tier, source, q et page.
Attribution des scores et des niveaux
Le calcul du score est volontairement simple à auditer. IPsum publie, pour chaque adresse, le nombre de listes de blocage indépendantes qui l'incluent. ipto ne conserve que les adresses présentes sur au moins 3 listes, et le score correspond à ce nombre, plafonné à 10. Les entrées Spamhaus DROP démarrent à 10 car elles couvrent de l'espace détourné ou exploité par des opérateurs criminels, et les entrées EDROP démarrent à 9. Lorsqu'une même plage apparaît dans plusieurs sources, le score le plus élevé l'emporte : une inscription Spamhaus prime donc toujours sur un décompte IPsum pour cette plage.
Le niveau découle directement du score :
- Critique (8 à 10) : le groupe de plus haute confiance. Il s'agit généralement de blocs exploités par des opérateurs d'infrastructure criminelle, ou d'espace détourné et activement utilisé à mauvais escient, avec du spam, de la diffusion de malwares ou de la collecte d'identifiants à prévoir.
- Élevé (5 à 7) : signalé comme hostile par plusieurs flux sans forcément relever d'une infrastructure criminelle organisée. Les clients d'hébergeurs « bulletproof » et les FAI complaisants envers le spam se retrouvent ici.
- Moyen (3 à 4) : signalé par plusieurs flux, mais avec une corroboration plus faible. C'est là qu'apparaissent généralement les environnements d'hébergement mutualisé et les blocs ayant un historique d'abus qui ont pu changer de propriétaire.
Utilisez le niveau pour la politique générale et le score brut lorsque vous devez classer une longue liste. Comme le score est plafonné à 10, une plage ne peut pas devenir plus critique en figurant sur une liste supplémentaire, ce qui maintient l'échelle stable dans le temps.
Blocage par plage ou par adresse IP
Les vérifications d'une adresse unique répondent à une question étroite : cette IP précise est-elle signalée en ce moment ? Le vérificateur d'abus IP et le champ abuse_score renvoyé par la recherche d'IP s'en chargent, en s'appuyant sur les mêmes plages, et le score accompagne la plage, si bien qu'aucune seconde requête n'est nécessaire. Les données au niveau de la plage répondent à une autre question : faut-il faire confiance à quoi que ce soit venant de ce quartier d'internet ?
Une échelle de politique raisonnable est la suivante :
- Plages Critique : rejetez-les au périmètre, ou refusez les connexions SMTP avant l'analyse du contenu, car aucun score au niveau du message ne réhabilite un expéditeur situé dans un bloc hostile.
- Plages Élevé : appliquez des limites de débit strictes ou un CAPTCHA au trafic de connexion et d'API, où opèrent couramment le credential stuffing et les outils de scraping.
- Plages Moyen : journalisez et renforcez la vérification au lieu de bloquer d'emblée.
- Tous niveaux : lorsqu'une alerte SIEM se déclenche sur une adresse située dans une plage Critique, escaladez-la automatiquement, car le contexte environnant modifie la priorité.
Combinez le signal de plage avec le contexte réseau de la recherche ASN. Si trois plages signalées appartiennent toutes au même système autonome, la décision peut relever du niveau ASN, et la recherche indique le propriétaire, le pays et les plages annoncées.
Réserves sur les réseaux partagés
Le blocage par plage a un coût collatéral. Une allocation d'hébergement mutualisé ou de cloud peut contenir un locataire abusif et des centaines de locataires légitimes, et un blocage appliqué à l'ensemble du préfixe les touche tous. C'est pourquoi les entrées de niveau Moyen méritent un examen avant toute politique générale, surtout sur les services grand public où un blocage excessif signifie un client perdu. Les plages changent aussi de mains : un bloc listé pour d'anciens abus peut désormais appartenir à un propriétaire sain, et l'actualisation toutes les six heures n'est utile que dans la mesure où les flux en amont se mettent à jour.
Une autre limite tient à la couverture. Les plages sont des blocs CIDR IPv4 et des adresses uniques issus des trois sources ci-dessus ; elles ne couvrent pas tous les réseaux hostiles, et un résultat propre n'est pas une garantie de confiance. ipto ne détecte pas non plus les proxys résidentiels : le trafic relayé par des connexions domestiques n'apparaîtra donc pas ici. Considérez le niveau comme une entrée parmi d'autres, aux côtés des indicateurs VPN, Tor et datacenter, que vous pouvez parcourir sur la page des flux de menaces. Pour comprendre pourquoi la concordance entre sources importe, consultez l'article sur la corroboration des listes noires.
Essayer sur ipto
Ouvrez la page des réseaux abusifs et filtrez sur Critique pour voir les pires plages, ou recherchez un préfixe que vous soupçonnez déjà. Depuis le code, appelez GET /v1/abuse?tier=critical&page=0 et mettez la réponse en cache, sachant qu'elle est servie avec une durée de cache de cinq minutes. Les recherches par adresse avec abuse_score et is_abuser sont gratuites et sans inscription, dans la limite de 1 000 requêtes par jour.