악성 네트워크: 대역 점수와 등급 산정 방식
악성 네트워크는 스팸, 악성코드, 봇넷 또는 공격 인프라를 호스팅하는 것으로 독립적인 위협 인텔리전스 소스들이 지목한 IP 주소 공간 블록(보통 CIDR 대역으로 표기)이며, ipto는 이 소스들이 얼마나 강하게 일치하는지에 따라 순위를 매깁니다. 단순한 블록리스트 대신 각 대역에 1~10점의 점수와 위험 등급을 부여하므로, 얼마나 강하게 대응할지 직접 결정할 수 있습니다.
악성 네트워크의 기준
문제를 일으키는 주소 하나는 단일 사건입니다. 위협 피드에 계속 등장하는 대역 전체는 하나의 패턴이며, 공격자는 피드가 목록에 올리는 속도보다 빠르게 주소를 교체하기 때문에 방어하는 입장에서는 개별 주소보다 이 패턴이 대개 더 유용합니다. 악성 네트워크 페이지가 호스트가 아닌 대역을 추적하는 이유입니다. /24 같은 항목은 해당 서브넷의 256개 주소 전체가 연루되었다는 뜻입니다. 그 블록이 적대적인 인프라에 할당되었거나 실제로 사용되고 있다는 의미이며, 그 외에는 깨끗한 할당 안에서 호스트 하나만 지목된 경우와는 다릅니다.
데이터는 공개 소스를 바탕으로 6시간 주기로 다시 생성되며, 이는 다른 위협 피드와 같은 주기입니다. 현재 대역은 세 가지 입력에서 가져옵니다. IPsum 통합 위협 목록, Spamhaus DROP, Spamhaus EDROP입니다. 이들 각각이 이미 다른 신호들의 조합이기 때문에, ipto는 소스 간 일치 여부를 점수화할 가치가 있는 요소로 취급합니다. 이 페이지는 서브넷으로 검색하고, 등급이나 소스 피드로 필터링하며, 한 번에 200개 항목씩 페이지를 넘겨 볼 수 있습니다. 같은 데이터를 /v1/abuse에서 tier, source, q, page 쿼리 매개변수와 함께 JSON으로도 받을 수 있습니다.
점수와 등급이 정해지는 방식
점수 산정은 검증하기 쉽도록 의도적으로 단순하게 설계되어 있습니다. IPsum은 각 주소에 대해 그 주소를 포함한 독립 블록리스트의 수를 공개합니다. ipto는 3개 이상의 목록에 올라 있는 주소만 유지하며, 점수는 그 개수에 최대 10으로 상한을 둔 값입니다. Spamhaus DROP 항목은 탈취되었거나 범죄 운영자가 운영하는 공간을 다루므로 10점에서 시작하고, EDROP 항목은 9점에서 시작합니다. 같은 대역이 둘 이상의 소스에 나타나면 가장 높은 점수가 적용되므로, 해당 대역에서는 Spamhaus 등재가 항상 IPsum 개수보다 우선합니다.
등급은 점수에서 직접 도출됩니다.
- Critical(8~10): 신뢰도가 가장 높은 그룹입니다. 보통 범죄 인프라 운영자가 운영하는 블록이거나 실제로 악용되고 있는 탈취된 공간이며, 스팸, 악성코드 유포 또는 자격 증명 탈취가 예상됩니다.
- High(5~7): 여러 피드에서 적대적인 것으로 지목되었지만 조직적인 범죄 인프라라고까지는 할 수 없는 경우입니다. 방탄 호스팅(bulletproof hosting) 고객과 스팸에 관대한 ISP가 여기에 속합니다.
- Medium(3~4): 여러 피드에서 지목되었지만 교차 확인 수준이 낮습니다. 공유 호스팅 환경이나, 과거의 악용 이력이 있지만 이후 소유자가 바뀌었을 수 있는 블록이 주로 여기에 나타납니다.
폭넓은 정책에는 등급을, 긴 목록의 순위를 매길 때는 원점수를 사용하세요. 점수는 10으로 상한이 있으므로 또 다른 목록에 올라간다고 해서 대역이 더 위험해지지 않으며, 덕분에 척도가 시간이 지나도 안정적으로 유지됩니다.
대역 단위 차단과 단일 IP 차단의 판단
단일 주소 확인은 좁은 질문에 답합니다. 이 특정 IP가 지금 지목되어 있는가 하는 것입니다. IP 악용 검사기와 IP 조회가 반환하는 abuse_score 필드가 같은 대역을 사용해 이를 확인하며, 점수가 대역과 함께 전달되므로 두 번째 쿼리가 필요 없습니다. 대역 단위 데이터는 다른 질문에 답합니다. 인터넷상의 이 구역에서 오는 것을 신뢰해도 되는가 하는 질문입니다.
합리적인 정책 단계는 다음과 같습니다.
- Critical 대역: 경계에서 차단하거나 콘텐츠 분석 전에 SMTP 연결을 거부합니다. 적대적인 블록에 속한 발신자는 메시지 단위 점수로도 신뢰를 회복할 수 없기 때문입니다.
- High 대역: 자격 증명 대입 공격과 스크래핑 도구가 흔히 동작하는 로그인 및 API 트래픽에 엄격한 속도 제한이나 CAPTCHA를 적용합니다.
- Medium 대역: 곧바로 차단하지 말고 기록을 남기고 인증 단계를 강화합니다.
- 모든 등급: Critical 대역 안의 주소에서 SIEM 경보가 발생하면 주변 맥락이 우선순위를 바꾸므로 자동으로 상향 처리합니다.
대역 신호를 ASN 조회의 네트워크 맥락과 결합하세요. 지목된 대역 세 개가 모두 같은 자율 시스템에 속한다면 결정은 ASN 수준에서 내리는 것이 맞을 수 있으며, 조회 결과에서 소유자, 국가, 광고된 대역을 확인할 수 있습니다.
공유 네트워크에 대한 유의 사항
대역 차단에는 부수적인 비용이 따릅니다. 공유 호스팅이나 클라우드 할당에는 악성 테넌트 하나와 정상 테넌트 수백 개가 함께 있을 수 있으며, 프리픽스 전체에 차단을 적용하면 모두가 영향을 받습니다. 그래서 Medium 등급 항목은 일괄 정책을 적용하기 전에 검토할 가치가 있으며, 과도한 차단이 곧 고객 이탈로 이어지는 일반 사용자 대상 서비스에서는 특히 그렇습니다. 대역은 소유자가 바뀌기도 합니다. 과거의 악용 때문에 등재된 블록이 지금은 깨끗한 소유자의 것일 수 있고, 6시간 단위 갱신은 업스트림 피드가 갱신되는 속도만큼만 도움이 됩니다.
또 다른 한계는 커버리지입니다. 이 대역은 위의 세 소스에서 가져온 IPv4 CIDR 블록과 단일 주소이며, 모든 적대적 네트워크를 포괄하지는 않고 결과가 깨끗하다고 해서 신뢰할 수 있다는 보장은 아닙니다. 또한 ipto는 주거용 프록시를 탐지하지 않으므로 가정용 회선을 거쳐 중계된 트래픽은 여기에 나타나지 않습니다. 등급은 VPN, Tor, 데이터센터 플래그와 함께 하나의 입력으로 취급하세요. 이 플래그들은 위협 피드 페이지에서 확인할 수 있습니다. 소스 간 일치가 왜 중요한지에 대한 배경은 블랙리스트 교차 확인에 관한 글을 참고하세요.
ipto에서 사용해 보기
악성 네트워크 페이지를 열고 Critical로 필터링하면 가장 위험한 대역을 볼 수 있고, 이미 의심하는 프리픽스를 검색할 수도 있습니다. 코드에서는 GET /v1/abuse?tier=critical&page=0을 호출하고 응답을 캐시하세요. 응답은 5분의 캐시 유효 시간으로 제공됩니다. abuse_score와 is_abuser를 포함한 주소별 조회는 가입 없이 무료이며 하루 최대 1,000건까지 가능합니다.