درجة إساءة استخدام IP وقوائم الحظر والتعزيز
درجة إساءة استخدام IP رقم يلخص مدى ارتباط عنوان بنشاط خبيث عبر مصادر استخبارات التهديدات، ويعني التعزيز ترجيح الدرجة بعدد المصادر المستقلة التي تتفق. والعنوان المدرج لدى عدة مصادر غير مترابطة إشارة أقوى بكثير من عنوان يظهر على قائمة واحدة مليئة بالضوضاء.
لماذا لا تكفي قائمة حظر واحدة
تُبنى قوائم الحظر لأغراض مختلفة ولها أنماط فشل مختلفة. قد تتتبع إحداها مرسلي الرسائل المزعجة، وأخرى خوادم قيادة الشبكات الروبوتية، وثالثة الماسحات التي تفحص المنافذ المفتوحة. وقد تكون القائمة حساسة فتعلّم أكثر مما ينبغي، أو متحفظة فتتأخر. وبعض الإدخالات متقادمة لأن العنوان أُعيد تخصيصه لعميل بريء بعد توقف الإساءة. فإذا حجبت بناءً على مصدر واحد ورثت نقاطه العمياء وأخطاءه. وإذا تجاهلتها كلها فاتتك هجمات حقيقية.
التعزيز هو الجواب المعياري: عامل كل مصدر على أنه شاهد وابحث عن الاتفاق. والمنطق إحصائي. نادرًا ما ترتكب المصادر المستقلة الخطأ نفسه بشأن العنوان نفسه في الوقت نفسه، فيرفع الاتفاق الثقة، بينما يستحق إدراج منفرد درجة أقل واستجابة أرفق. وهكذا تنتقل أيضًا فكرة البلد مقابل المدينة من تحديد الموقع إلى السمعة: كلما دعمت أدلة مستقلة أكثر ادعاءً، زاد اعتمادك عليه.
كيف تُبنى درجة إساءة استخدام IP من المصادر
تبلّغ أداة فحص إساءة استخدام IP كيف يُنظر إلى عنوان عبر عدة مصادر لاستخبارات التهديدات وتختزله في درجة إساءة ومستوى خطورة. وخلف الكواليس يجمع ipto مصادر عامة منها قائمة الحظر المجمّعة IPsum وقائمتا Spamhaus DROP وEDROP. تعدّ IPsum نفسها كم قائمة حظر أساسية تذكر العنوان، ولا يُدرج ipto إلا العناوين التي تظهر في ثلاث منها على الأقل، مع تحديد الدرجة بسقف 10. وSpamhaus DROP وEDROP قائمتان منتقاتان لنطاقات شبكات مختطفة أو تحت سيطرة مجرمين، لذا تحصل إدخالاتهما على أعلى الدرجات. وعند ظهور النطاق نفسه في أكثر من مصدر تُحتفظ بأعلى درجة.
تُقابل الدرجات بمستويات خطورة: 8 فأكثر حرج، و5 إلى 7 مرتفع، وما دون ذلك متوسط. وتُظهر النتيجة أيضًا الشبكة التي يعود إليها العنوان، وهذا مهم لأن الإساءة كثيرًا ما تتركز في نطاق أو مشغّل لا في مضيف واحد. وتسرد صفحة الشبكات المسيئة أكثر النطاقات إساءة، وتعرض صفحة مصادر التهديدات قوائم VPN وTor والخطورة العالية الحية التي تتجدد كل 6 ساعات. وفي API البحث تحمل النتيجة is_abuser إلى جانب is_vpn وis_tor وis_datacenter.
ما ليست عليه الدرجة
هذه درجة سمعة، لا استعلام عن قائمة حظر DNS لخوادم البريد، ولا ينبغي أن تحل محله عند تشخيص تسليم البريد إلى مزود استقبال معين. كما لا يمكنها رؤية سلوك لم يسجله أي مصدر: فمضيف اختُرق حديثًا بلا تاريخ سيحصل على درجة نظيفة. والعناوين المشتركة أو المعاد تخصيصها قد تحمل سمعة مستخدم سابق. ويجعل NAT على مستوى المشغّل المشكلة أحدّ، إذ قد يخدم عنوان محمول واحد أشخاصًا كثيرين غير مترابطين. ولا يكشف ipto شبكات الوكلاء السكنية، لذا فإن الحركة الموجهة عبر اتصالات منزلية عادية لن تعلّمها هذه المصادر.
قراءة الاختلاف بين المصادر
التعزيز مفيد عند اختلاف المصادر بقدر فائدته عند اتفاقها. فإذا ظهر نطاق في قائمة اختطاف منتقاة بينما لا يذكر أحد غيرها مضيفات فردية داخله، فالقصة المرجحة مشكلة مشغّل لا جهاز عميل مخترق، وقد يكون حجب النطاق صحيحًا مع أنه لا تاريخ لمضيف منفرد. وإذا ظهر مضيف واحد في قائمة مجمّعة بعدد منخفض ولا مكان آخر، فقد تكون عدوى قصيرة الأمد نُظفت بالفعل. وإبقاء المصدر ظاهرًا مع كل درجة، كما تفعل قائمة الشبكات المسيئة، يتيح للمحلل رؤية سبب الحكم بدلًا من الوثوق برقم مجرد.
التصرف بحسب الدرجة
طابق الاستجابة بمستوى الثقة. فلدرجة حرجة من نطاق مركز بيانات يطرق نقطة تسجيل الدخول لديك، يكون الحجب أو التحدي الصارم معقولًا. ولدرجة متوسطة أضف احتكاكًا بدلًا من الرفض: CAPTCHA أو تأكيدًا بالبريد أو حد معدل أدنى. ولغياب الدرجة لا تفعل شيئًا خاصًا، لكن لا تعده شهادة سلامة. سجّل الدرجة مع كل قرار لتراجع الإيجابيات الكاذبة وتضبط العتبات.
ادمج السمعة مع إشارات أخرى قبل التصعيد. تدمج أداة درجة الاحتيال سمعة IP وكشف البريد المؤقت والتحقق من الهاتف وتصنيف User-Agent في درجة واحدة من 0 إلى 100، مبيّنة مقدار إسهام كل إشارة. وهذا يُبقي النتيجة قابلة للتفسير، وهو مهم حين يسأل عميل مشروع لماذا تعرض لتحدٍّ. وللمفاضلات ذات الصلة في المصادر المجانية، راجع مقارنة طرق كشف VPN، وراجع وثائق API لحقول الاستجابة. يتيح المفتاح المجاني 1,000 طلب يوميًا بلا تسجيل.