Puntuación de abuso de IP y corroboración
Una puntuación de abuso de IP es un número que resume la intensidad con que una dirección se asocia a actividad maliciosa en distintas fuentes de inteligencia de amenazas, y corroboración significa ponderar la puntuación según cuántos feeds independientes coinciden. Una dirección incluida por varias fuentes no relacionadas es una señal mucho más fuerte que una que aparece en una sola lista ruidosa.
Por qué una sola lista negra no basta
Las listas negras se crean con fines distintos y tienen modos de fallo diferentes. Una puede seguir a remitentes de spam, otra servidores de mando y control de botnets, otra escáneres que sondean puertos abiertos. Una lista puede ser sensible y marcar demasiado, o conservadora y quedarse atrás. Algunas entradas están obsoletas porque la dirección se reasignó a un cliente inocente después de que cesara el abuso. Si bloqueas basándote en un único feed, heredas sus puntos ciegos y sus errores. Si los ignoras todos, se te escapan ataques reales.
La corroboración es la respuesta habitual: trata cada feed como un testigo y busca coincidencias. El razonamiento es estadístico. Las fuentes independientes rara vez cometen el mismo error sobre la misma dirección al mismo tiempo, así que la coincidencia aumenta la confianza, mientras que una inclusión aislada merece una puntuación más baja y una respuesta más suave. Así es también como el contraste entre país y ciudad de la geolocalización se traslada a la reputación: cuantas más pruebas independientes respaldan una afirmación, más puedes fiarte de ella.
Cómo se construye una puntuación de abuso de IP a partir de feeds
El verificador de abuso de IP informa de cómo se considera una dirección en varias fuentes de inteligencia de amenazas y lo condensa en una puntuación de abuso y un nivel de riesgo. Entre bastidores, ipto agrega feeds públicos, entre ellos la lista de bloqueo agregada IPsum y las listas Spamhaus DROP y EDROP. IPsum cuenta cuántas listas de bloqueo subyacentes mencionan una dirección, e ipto solo incluye las direcciones que aparecen en al menos tres de ellas, con un tope de 10 en la puntuación. Spamhaus DROP y EDROP son listas seleccionadas de rangos de red secuestrados o controlados por delincuentes, por lo que sus entradas puntúan en lo más alto de la escala. Cuando el mismo rango aparece en más de un feed, se conserva la puntuación más alta.
Las puntuaciones se asignan a niveles de riesgo: 8 o más es crítico, de 5 a 7 es alto y cualquier valor inferior es medio. El resultado también muestra la red a la que pertenece la dirección, lo que importa porque el abuso suele concentrarse en un rango o en un operador, no en un único host. La página de redes abusivas enumera los rangos más abusivos, y la página de feeds de amenazas muestra las listas en vivo de VPN, Tor y alto riesgo, que se actualizan cada 6 horas. En la API de consulta, el resultado incluye is_abuser junto con is_vpn, is_tor e is_datacenter.
Qué no es la puntuación
Es una puntuación de reputación, no una consulta a una lista de bloqueo DNS de servidores de correo, y no debe sustituirla al diagnosticar la entrega de correo a un proveedor receptor concreto. Tampoco puede ver comportamientos que ningún feed haya registrado: un host recién comprometido y sin historial puntuará como limpio. Y las direcciones compartidas o reasignadas pueden arrastrar la reputación de un usuario anterior. El NAT de nivel de operador agrava el problema, ya que una misma dirección móvil puede dar servicio a muchas personas sin relación. ipto no detecta redes de proxies residenciales, así que el tráfico encaminado a través de conexiones domésticas normales no será marcado por estos feeds.
Interpretar la discrepancia entre feeds
La corroboración es tan útil cuando los feeds discrepan como cuando coinciden. Si un rango aparece en una lista seleccionada de secuestros pero nadie más menciona hosts individuales dentro de él, lo probable es que se trate de un problema del operador y no de la máquina de un cliente comprometida, y bloquear el rango puede ser lo correcto aunque ningún host tenga historial. Si un host aparece en una lista agregada con un recuento bajo y en ningún otro sitio, puede ser una infección de corta duración que ya se ha limpiado. Mantener visible el feed de origen junto a cada puntuación, como hace el listado de redes abusivas, permite al analista ver por qué se llegó a un veredicto en lugar de fiarse de un número desnudo.
Actuar según una puntuación
Ajusta la respuesta a la confianza. Para una puntuación crítica de un rango de centro de datos que ataca tu endpoint de inicio de sesión, es razonable bloquear o plantear un desafío fuerte. Para una puntuación intermedia, añade fricción en lugar de rechazar: un CAPTCHA, una confirmación por correo o un límite de frecuencia más bajo. Si no hay puntuación, no hagas nada especial, pero no lo tomes como un certificado de buena salud. Registra la puntuación con cada decisión para poder revisar los falsos positivos y ajustar los umbrales.
Combina la reputación con otras señales antes de escalar. El verificador de puntuación de fraude fusiona la reputación de la IP, la detección de correo desechable, la validación de teléfono y la clasificación del User-Agent en una única puntuación de 0 a 100, mostrando cuánto ha contribuido cada señal. Eso mantiene el resultado explicable, algo importante cuando un cliente legítimo pregunta por qué se le planteó un desafío. Para los compromisos relacionados de los feeds gratuitos, consulta comparación de métodos de detección de VPN, y revisa la documentación de la API para ver los campos de respuesta. Una clave gratuita permite 1.000 solicitudes al día sin registro.