अब्यूसिव नेटवर्क: रेंज को स्कोर और टियर कैसे मिलते हैं

अब्यूसिव नेटवर्क IP एड्रेस स्पेस के वे ब्लॉक हैं, जिन्हें आमतौर पर CIDR रेंज के रूप में लिखा जाता है और जिन्हें स्वतंत्र थ्रेट-इंटेलिजेंस स्रोत स्पैम, मैलवेयर, बॉटनेट या एक्सप्लॉइटेशन इन्फ्रास्ट्रक्चर होस्ट करने वाला बताते हैं। ipto इन्हें इस आधार पर रैंक करता है कि वे स्रोत आपस में कितनी मज़बूती से सहमत हैं। एक सपाट ब्लॉकलिस्ट की जगह हर रेंज को 1 से 10 का स्कोर और एक जोखिम टियर मिलता है, ताकि आप तय कर सकें कि उस पर कितनी सख़्ती से कार्रवाई करनी है।

अब्यूसिव नेटवर्क किसे माना जाता है

एक अकेला गड़बड़ करने वाला एड्रेस एक घटना है। जो पूरी रेंज बार-बार थ्रेट फ़ीड में दिखती रहे, वह एक पैटर्न है, और रक्षक के लिए यह पैटर्न आमतौर पर किसी एक एड्रेस से ज़्यादा काम का होता है, क्योंकि हमलावर एड्रेस इतनी तेज़ी से बदलते हैं कि फ़ीड उन्हें सूचीबद्ध नहीं कर पातीं। इसी कारण अब्यूसिव नेटवर्क पेज होस्ट की जगह रेंज को ट्रैक करता है। /24 जैसी किसी एंट्री का मतलब है कि उस सबनेट के सभी 256 एड्रेस संदिग्ध हैं: वह ब्लॉक शत्रुतापूर्ण इन्फ्रास्ट्रक्चर को आवंटित है या उसके द्वारा सक्रिय रूप से इस्तेमाल हो रहा है, केवल किसी साफ़ आवंटन के भीतर एक चिह्नित होस्ट नहीं।

डेटा सार्वजनिक स्रोतों से हर छह घंटे के चक्र में दोबारा बनाया जाता है, जो अन्य थ्रेट फ़ीड की ही गति है। रेंज फ़िलहाल तीन इनपुट से आती हैं: IPsum की एग्रीगेटेड थ्रेट लिस्ट, Spamhaus DROP और Spamhaus EDROP। इनमें से हर एक स्वयं अन्य संकेतों का संयोजन है, इसीलिए ipto इनके बीच की सहमति को ही स्कोर करने लायक मानता है। पेज पर सबनेट से खोजा जा सकता है, टियर या स्रोत फ़ीड से फ़िल्टर किया जा सकता है, और एक बार में 200 एंट्री के पेज में देखा जा सकता है। यही डेटा /v1/abuse से JSON के रूप में भी उपलब्ध है, जिसमें tier, source, q और page क्वेरी पैरामीटर चलते हैं।

स्कोर और टियर कैसे तय होते हैं

स्कोरिंग जान-बूझकर ऐसी रखी गई है कि उसका ऑडिट आसान हो। IPsum हर एड्रेस के लिए यह संख्या प्रकाशित करता है कि कितनी स्वतंत्र ब्लॉकलिस्ट में वह शामिल है। ipto केवल वही एड्रेस रखता है जो कम से कम 3 सूचियों में हों, और स्कोर वही गिनती है, जिसकी ऊपरी सीमा 10 है। Spamhaus DROP की एंट्री 10 से शुरू होती हैं क्योंकि वे ऐसे स्पेस को कवर करती हैं जो हाईजैक किया गया है या आपराधिक संचालकों के हाथ में है, और EDROP की एंट्री 9 से शुरू होती हैं। जब एक ही रेंज एक से अधिक स्रोतों में दिखती है, तो सबसे ऊँचा स्कोर माना जाता है, इसलिए उस रेंज के लिए Spamhaus की लिस्टिंग हमेशा IPsum की गिनती से ऊपर रहती है।

टियर सीधे स्कोर से निकलता है:

• Critical (8 से 10): सबसे ऊँचे भरोसे वाला समूह। ये आमतौर पर आपराधिक इन्फ्रास्ट्रक्चर संचालकों के ब्लॉक या सक्रिय रूप से दुरुपयोग हो रहा हाईजैक किया गया स्पेस होते हैं, जिनसे स्पैम, मैलवेयर डिलीवरी या क्रेडेंशियल चोरी की आशंका रहती है।
• High (5 से 7): कई फ़ीड में शत्रुतापूर्ण चिह्नित, पर ज़रूरी नहीं कि संगठित आपराधिक इन्फ्रास्ट्रक्चर हों। बुलेटप्रूफ़ होस्टिंग के ग्राहक और स्पैम-अनुकूल ISP यहाँ आते हैं।
• Medium (3 से 4): कई फ़ीड द्वारा चिह्नित, पर कम पुष्टि के साथ। शेयर्ड होस्टिंग वातावरण और पुराने दुरुपयोग वाले ब्लॉक, जिनका स्वामित्व बदल चुका हो सकता है, अक्सर यहीं दिखते हैं।

व्यापक नीति के लिए टियर और लंबी सूची को क्रम देने के लिए कच्चे स्कोर का उपयोग करें। चूँकि स्कोर की सीमा 10 है, इसलिए कोई रेंज एक और सूची में आने से और अधिक क्रिटिकल नहीं हो सकती, और इससे पैमाना समय के साथ स्थिर रहता है।

रेंज-स्तरीय बनाम एकल-IP ब्लॉकिंग के फ़ैसले

एकल-एड्रेस जाँच एक संकीर्ण सवाल का जवाब देती है: क्या यह विशिष्ट IP अभी चिह्नित है? IP एब्यूज़ चेकर और IP लुकअप से मिलने वाला abuse_score फ़ील्ड यही करते हैं, उन्हीं रेंज का उपयोग करते हुए, और स्कोर रेंज के साथ चलता है इसलिए दूसरी क्वेरी की ज़रूरत नहीं। रेंज-स्तरीय डेटा एक अलग सवाल का जवाब देता है: क्या इंटरनेट के इस मोहल्ले से आने वाली किसी भी चीज़ पर भरोसा किया जाना चाहिए?

एक उचित नीति-सीढ़ी यह हो सकती है:

• Critical रेंज: परिधि पर ही ड्रॉप करें, या कंटेंट विश्लेषण से पहले SMTP कनेक्शन अस्वीकार करें, क्योंकि कोई भी संदेश-स्तरीय स्कोरिंग शत्रुतापूर्ण ब्लॉक के भेजने वाले को साफ़ नहीं कर सकती।
• High रेंज: लॉगिन और API ट्रैफ़िक पर सख़्त रेट लिमिट या CAPTCHA लगाएँ, जहाँ क्रेडेंशियल स्टफ़िंग और स्क्रैपिंग टूल आम तौर पर काम करते हैं।
• Medium रेंज: सीधे ब्लॉक करने की जगह लॉग करें और सत्यापन का स्तर बढ़ाएँ।
• किसी भी टियर में: जब Critical रेंज के भीतर किसी एड्रेस पर SIEM अलर्ट बजे, तो उसे अपने-आप एस्केलेट करें, क्योंकि आसपास का संदर्भ प्राथमिकता बदल देता है।

रेंज के संकेत को ASN लुकअप के नेटवर्क संदर्भ के साथ जोड़ें। यदि तीन चिह्नित रेंज एक ही ऑटोनॉमस सिस्टम की हैं, तो फ़ैसला ASN स्तर पर हो सकता है, और लुकअप स्वामी, देश और घोषित रेंज दिखाता है।

शेयर्ड नेटवर्क पर सावधानियाँ

रेंज ब्लॉक करने की एक संपार्श्विक कीमत होती है। एक शेयर्ड होस्टिंग या क्लाउड आवंटन में एक अब्यूसिव टेनेंट और सैकड़ों वैध टेनेंट हो सकते हैं, और पूरे प्रीफ़िक्स पर लगाया गया ब्लॉक सभी को प्रभावित करता है। इसीलिए Medium-टियर की एंट्री को किसी भी सामूहिक नीति से पहले जाँचना चाहिए, खासकर उपभोक्ता-सामने वाली सेवाओं पर, जहाँ ज़रूरत से ज़्यादा ब्लॉकिंग का मतलब एक खोया हुआ ग्राहक है। रेंज के हाथ भी बदलते हैं: पुराने दुरुपयोग के लिए सूचीबद्ध ब्लॉक अब किसी साफ़ स्वामी का हो सकता है, और छह घंटे का रिफ़्रेश उतनी ही तेज़ी से काम आता है जितनी तेज़ी से अपस्ट्रीम फ़ीड अपडेट होती हैं।

एक और सीमा कवरेज की है। रेंज ऊपर बताए तीन स्रोतों के IPv4 CIDR ब्लॉक और एकल एड्रेस हैं; वे हर शत्रुतापूर्ण नेटवर्क को कवर नहीं करतीं, और साफ़ नतीजा भरोसे की गारंटी नहीं है। ipto रेज़िडेंशियल प्रॉक्सी भी नहीं पहचानता, इसलिए घरेलू कनेक्शन से रिले होने वाला ट्रैफ़िक यहाँ नहीं दिखेगा। टियर को VPN, Tor और डेटासेंटर फ़्लैग के साथ एक इनपुट के रूप में लें, जिन्हें आप थ्रेट फ़ीड पेज पर देख सकते हैं। स्रोतों के बीच सहमति क्यों मायने रखती है, इसकी पृष्ठभूमि के लिए ब्लैकलिस्ट पुष्टि पर लिखा पोस्ट देखें।

ipto पर इसे आज़माएँ

अब्यूसिव नेटवर्क पेज खोलें और सबसे ख़राब रेंज देखने के लिए Critical से फ़िल्टर करें, या ऐसा प्रीफ़िक्स खोजें जिस पर आपको पहले से शक हो। कोड से GET /v1/abuse?tier=critical&page=0 कॉल करें और रिस्पॉन्स कैश करें, जो पाँच मिनट की कैश अवधि के साथ दिया जाता है। abuse_score और is_abuser वाले प्रति-एड्रेस लुकअप बिना साइनअप के मुफ़्त हैं, प्रतिदिन 1,000 अनुरोधों तक।

सीधे जवाब