Redes abusivas: como faixas são pontuadas e classificadas
Redes abusivas são blocos de espaço de endereços IP, geralmente expressos como faixas CIDR, que fontes independentes de inteligência de ameaças apontam como hospedeiros de infraestrutura de spam, malware, botnet ou exploração, e o ipto as classifica pelo grau de concordância entre essas fontes. Em vez de uma lista de bloqueio plana, cada faixa recebe uma pontuação de 1 a 10 e um nível de risco, para que você decida com que agressividade agir.
O que conta como rede abusiva
Um único endereço mal-comportado é um incidente. Uma faixa inteira que aparece repetidamente em feeds de ameaças é um padrão, e o padrão costuma ser mais útil para quem defende do que qualquer endereço isolado, porque os atacantes trocam de endereço mais rápido do que os feeds conseguem listá-los. A página de redes abusivas acompanha faixas, e não hosts, por esse motivo. Uma entrada como uma /24 significa que todos os 256 endereços dessa sub-rede estão implicados: o bloco é alocado a uma infraestrutura hostil, ou usado ativamente por ela, e não apenas um host sinalizado dentro de uma alocação que de resto é limpa.
Os dados são reconstruídos a partir de fontes públicas em um ciclo de seis horas, a mesma cadência dos demais feeds de ameaças. Atualmente as faixas vêm de três entradas: a lista agregada de ameaças IPsum, o Spamhaus DROP e o Spamhaus EDROP. Cada uma delas é, por sua vez, uma combinação de outros sinais, e é por isso que o ipto trata a concordância entre elas como o que vale a pena pontuar. A página permite busca por sub-rede, filtro por nível ou por feed de origem e paginação de 200 entradas por vez. Os mesmos dados estão disponíveis em JSON em /v1/abuse com os parâmetros de consulta tier, source, q e page.
Como pontuações e níveis são atribuídos
A pontuação é deliberadamente simples de auditar. O IPsum publica, para cada endereço, o número de listas de bloqueio independentes que o incluem. O ipto mantém apenas endereços listados por pelo menos 3 listas, e a pontuação é essa contagem, limitada a 10. As entradas do Spamhaus DROP começam em 10, porque cobrem espaço sequestrado ou operado por criminosos, e as do EDROP começam em 9. Quando a mesma faixa aparece em mais de uma fonte, vale a maior pontuação, de modo que uma listagem do Spamhaus sempre supera uma contagem do IPsum para essa faixa.
O nível é derivado diretamente da pontuação:
- Crítico (8 a 10): o grupo de maior confiança. Em geral são blocos operados por responsáveis por infraestrutura criminosa ou espaço sequestrado em uso ativo indevido, com spam, distribuição de malware ou coleta de credenciais esperados.
- Alto (5 a 7): sinalizado como hostil em vários feeds, sem necessariamente ser infraestrutura criminosa organizada. Clientes de hospedagem bulletproof e ISPs tolerantes a spam entram aqui.
- Médio (3 a 4): sinalizado por vários feeds, mas com menor corroboração. É onde tendem a aparecer ambientes de hospedagem compartilhada e blocos com abuso histórico que podem ter mudado de dono.
Use o nível para políticas amplas e a pontuação bruta quando precisar ordenar uma lista longa. Como a pontuação é limitada a 10, uma faixa não se torna mais crítica por aparecer em mais uma lista, o que mantém a escala estável ao longo do tempo.
Bloqueio por faixa versus por IP individual
Verificações de endereço único respondem a uma pergunta estreita: este IP específico está sinalizado agora? O verificador de abuso de IP e o campo abuse_score retornado pela consulta de IP fazem isso, usando as mesmas faixas, e a pontuação acompanha a faixa, então não é necessária uma segunda consulta. Os dados por faixa respondem a outra pergunta: algo vindo dessa vizinhança da internet deve ser considerado confiável?
Uma escada de políticas razoável é:
- Faixas Críticas: descartar no perímetro, ou rejeitar conexões SMTP antes da análise de conteúdo, já que nenhuma pontuação no nível da mensagem reabilita um remetente em um bloco hostil.
- Faixas Altas: aplicar limites de taxa rigorosos ou um CAPTCHA ao tráfego de login e de API, onde ferramentas de credential stuffing e scraping costumam operar.
- Faixas Médias: registrar em log e reforçar a verificação em vez de bloquear de imediato.
- Qualquer nível: quando um alerta de SIEM dispara para um endereço dentro de uma faixa Crítica, escale-o automaticamente, pois o contexto ao redor muda a prioridade.
Combine o sinal da faixa com o contexto de rede da consulta de ASN. Se três faixas sinalizadas pertencem ao mesmo sistema autônomo, a decisão pode caber no nível do ASN, e a consulta mostra o proprietário, o país e as faixas anunciadas.
Ressalvas sobre redes compartilhadas
O bloqueio por faixa tem um custo colateral. Uma alocação de hospedagem compartilhada ou de nuvem pode conter um inquilino abusivo e centenas de legítimos, e um bloqueio aplicado ao prefixo inteiro atinge todos eles. Por isso as entradas de nível Médio merecem revisão antes de qualquer política generalizada, especialmente em serviços voltados ao consumidor, onde um bloqueio excessivo significa um cliente perdido. As faixas também mudam de mãos: um bloco listado por abuso antigo pode agora pertencer a um dono limpo, e a atualização de seis horas só é tão rápida quanto os feeds de origem se atualizam.
Outro limite é a cobertura. As faixas são blocos CIDR IPv4 e endereços individuais das três fontes acima; elas não cobrem todas as redes hostis, e um resultado limpo não é garantia de confiança. O ipto também não detecta proxies residenciais, portanto o tráfego retransmitido por conexões domésticas não aparecerá aqui. Trate o nível como uma entrada entre outras, ao lado das flags de VPN, Tor e datacenter, que você pode explorar na página de feeds de ameaças. Para entender por que a concordância entre fontes importa, veja o post sobre corroboração de listas de bloqueio.
Testando no ipto
Abra a página de redes abusivas e filtre por Crítico para ver as piores faixas, ou busque um prefixo que você já suspeita. Pelo código, chame GET /v1/abuse?tier=critical&page=0 e armazene a resposta em cache, que é servida com tempo de vida de cache de cinco minutos. Consultas por endereço com abuse_score e is_abuser são gratuitas e sem cadastro, até 1.000 requisições por dia.